CVE-2025-55462
Una mala configuración de CORS en las ediciones Community y Enterprise de Eramba v3.26.0 permite que un encabezado Origin controlado por el atacante se...
- Publicado
- 13 ene 2026
- Actualizado
- 5 jul 2026
- Asignación de CNA
- mitre
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 35,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Una mala configuración de CORS en las ediciones Community y Enterprise de Eramba v3.26.0 permite que un encabezado Origin controlado por el atacante se refleje en la respuesta Access-Control-Allow-Origin junto con Access-Control-Allow-Credentials: true. Esto permite que sitios web maliciosos de terceros realicen solicitudes autenticadas de origen cruzado contra la API de Eramba, incluyendo puntos finales como /system-api/login y /system-api/user/me. La respuesta incluye datos sensibles de la sesión del usuario (ID, nombre, correo electrónico, grupos de acceso), que son accesibles para el JavaScript del atacante. Esta falla permite el secuestro completo de la sesión y la exfiltración de datos sin interacción del usuario. Las versiones de Eramba 3.23.3 y anteriores fueron probadas y parecen no estar afectadas. La vulnerabilidad está presente en instalaciones predeterminadas, sin requerir configuración personalizada.
Fuentes
1Documentación técnica y prueba de concepto para CVE-2025-55462, una mala configuración de CORS en Eramba v3.26.0 que permite solicitudes de autenticación de origen cruzado en el endpoint /system-api/login.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.