Un nuevo aviso de seguridad
Inyección SQL en CentrosNet de DIAL
CentrosNet, versiones anteriores a la 2.65.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a CentrosNet de DIAL, una aplicación para la gestión de las notificaciones entre los centros de enseñanza y los alumnos y sus padres. La vulnerabilidad ha sido descubierta por Arnau Yepes.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2025-10870: CVSS v4.0: 9.3 | CVSS 4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. | CWE-89.
La vulnerabilidad ha sido solucionada por el equipo de DIAL en la versión 2.65.
CVE-2025-10870: vulnerabilidad de inyección SQL en CentrosNet v2.64 de DIAL. Permite a un atacante obtener, crear, actualizar y eliminar bases de datos enviando solicitudes POST y GET con el parámetro 'ultralogin' en '/centrosnet/ultralogin.php'.