CVE-2025-65925 — Control de Acceso Incorrecto en el Flujo de Creación de Cuentas de Zeroheight

Fecha de divulgación: 2025-06-11
Fecha de corrección del proveedor (según el proveedor): 2025-06-13
Fecha de validación del investigador: 2025-06-26
Descubierto por: Sneden Rebello

---

Resumen

Una ruta API heredada de creación de usuarios permitía crear cuentas sin completar el paso de verificación de correo electrónico previsto. Si bien las cuentas no verificadas no podían acceder a las funciones del producto, esta omisión seguía violando el flujo de verificación y control de acceso diseñado, y permitía la creación de cuentas no deseadas (por ejemplo, registros de spam/falsos).

Alcance: limitado a flujos de registro no autenticados.
Exposición de datos: ninguna observada; sin acceso a datos de usuarios existentes ni a sesiones.

---

Impacto (alto nivel)

• Creación de cuentas fuera de los controles de verificación previstos
• Potencial de inundación de cuentas de spam/falsas e impacto en recursos/uso de recursos
• Podría contribuir a escenarios de ingeniería social o ataques encadenados en modelos de amenaza más amplios

Clasificación de impacto MITRE: Denegación de Servicio (agotamiento de recursos mediante creación de cuentas no deseadas)

Gravedad estimada: Media (omisión de la lógica de autenticación/verificación; sin exposición directa de datos)

Vector CVSS v3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Puntuación base CVSS: 6.5 (Media)

---

Clasificación CVE (MITRE)

• Tipo de vulnerabilidad: Control de Acceso Incorrecto
• Tipo de ataque: Remoto
• Vector de ataque: Red – acceso no autenticado a una ruta heredada de creación de usuarios a través de HTTPS
• Componente afectado: Proceso de creación y verificación de cuentas de usuario (ruta heredada de omisión de verificación)
• Confirmación del proveedor: Sí

---

Afectado

• Producto: Zeroheight (plataforma SaaS)
• Versiones: zeroheight (SaaS) – instancias anteriores al 2025-06-13 (cadena de versión pública aprobada por el proveedor)

---

Mitigación (proveedor)

El proveedor resolvió el problema mediante:

1. Exigir un token de verificación válido para todos los flujos de creación de cuentas
2. Mejorar las comprobaciones de validación antes de procesar nuevos registros de cuentas

Estos cambios garantizan que las cuentas solo puedan crearse después de completar el proceso de verificación de correo electrónico previsto.
Los usuarios de la plataforma no necesitan realizar ninguna acción más allá de asegurarse de que están en la versión actual del servicio.

---

Cronograma

Nota: Tanto la fecha de corrección interna del proveedor (2025-06-13) como la fecha de validación del investigador (2025-06-26) se registran para transparencia.

---

Créditos

• Investigador: Sneden Rebello (GitHub),(LinkedIn)
• Coordinación con el proveedor: Equipos de seguridad e ingeniería de Zeroheight

---

CVE

CVE-2025-65925 está publicado públicamente en cve.org
Este aviso refleja la divulgación pública asociada a este CVE.

---

Referencias

• Este aviso (público)
• Contexto adicional del proveedor mantenido en privado a petición suya

---

Política de divulgación

Esto sigue una divulgación coordinada de vulnerabilidades. Los detalles públicos son intencionadamente de alto nivel según la solicitud del proveedor; no se incluyen identificadores internos, detalles de infraestructura ni especificaciones de endpoints. Consulte DISCLOSURE_POLICY.md para más información.