Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Admin Classic de Pimcore (CVE-2025-30166)

Gravedad CVSS v4.0:
BAJA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
08/04/2025
Última modificación:
08/04/2025

Descripción

El paquete Admin Classic de Pimcore proporciona una interfaz de usuario backend para Pimcore. Un problema de inyección de HTML permite a los usuarios con acceso a la función de envío de correos electrónicos inyectar código HTML arbitrario en los correos enviados a través de la interfaz de administración, lo que podría provocar el robo de cookies de sesión y la alteración del contenido de la página. La vulnerabilidad se descubrió en el endpoint /admin/email/send-test-email mediante el método POST. El parámetro vulnerable es content, lo que permite la inyección de código HTML arbitrario durante el proceso de envío de correos electrónicos. Si bien la inyección de código JavaScript se bloquea mediante filtrado, la inyección de código HTML sigue siendo posible. Esta vulnerabilidad se corrigió en la versión 1.7.6.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:A/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 1.80 BAJA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:A/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Activo
Confidentiality (VC): Bajo
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0
1.80
Gravedad 4.0
BAJA

Referencias a soluciones, herramientas e información