Vulnerabilidad en Epicor HCM 2021 1.9 (CVE-2025-22953)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)

Fecha de publicación:

28/03/2025

Última modificación:

15/04/2025

Descripción

Existe una vulnerabilidad de inyección SQL en Epicor HCM 2021 1.9, específicamente en el parámetro de filtro del endpoint JsonFetcher.svc. Un atacante puede explotar esta vulnerabilidad inyectando cargas SQL maliciosas en el parámetro de filtro, lo que permite la ejecución no autorizada de comandos SQL arbitrarios en la base de datos del backend. Si se habilitan ciertas funciones (como xp_cmdshell), esto puede provocar la ejecución remota de código.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto