Vulnerabilidad en Applio (CVE-2025-27776)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-918 Falsificación de solicitud en servidor (SSRF)

Fecha de publicación:

19/03/2025

Última modificación:

19/03/2025

Descripción

Applio es una herramienta de conversión de voz. Las versiones 3.2.7 y anteriores son vulnerables a server-side request forgery (SSRF) y a la escritura de archivos en `model_download.py` (línea 240 en 3.2.7). La SSRF ciega permite enviar solicitudes en nombre del servidor Applio y puede utilizarse para investigar otras vulnerabilidades en el propio servidor o en otros sistemas back-end de la red interna a los que el servidor Applio puede acceder. La SSRF ciega también puede combinarse con la lectura arbitraria de archivos CVE-2025-27784 para leer archivos de hosts de la red interna a los que el servidor Applio puede acceder, lo que la convertiría en una SSRF completa. La escritura de archivos permite escribir archivos en el servidor, lo que puede combinarse con otras vulnerabilidades, como una deserialización insegura, para lograr la ejecución remota de código en el servidor Applio. Al momento de la publicación, no se conocían parches disponibles.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:P CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): POC

Puntuación base 4.0

8.80

Gravedad 4.0

ALTA

Vulnerabilidad en Applio (CVE-2025-27776)

Descripción

Impacto

Referencias a soluciones, herramientas e información