Vulnerabilidad en Hemmelig.app de HemmeligOrg (CVE-2025-69206)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-918 Falsificación de solicitud en servidor (SSRF)

Fecha de publicación:

29/12/2025

Última modificación:

07/10/2026

Descripción

Hemmelig es una aplicación de mensajería con cifrado del lado del cliente y mensajes autodestructivos. Antes de la versión 7.3.3, existe una vulnerabilidad de omisión de filtro de falsificación de petición del lado del servidor (SSRF) en la validación de URL de webhook de la función de Solicitudes Secretas. La aplicación intenta bloquear direcciones IP internas/privadas, pero puede ser omitida usando reenlace de DNS o servicios de redirección abierta. Esto permite a un usuario autenticado hacer que el servidor inicie peticiones HTTP a recursos de red internos. La versión 7.3.3 contiene un parche para el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno