Plataforma
other
Componente
opencms
Corregido en
2.2.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en OpenCms versiones 2.2.2 a 2.2. Esta falla permite a un atacante inyectar scripts maliciosos en la aplicación, potencialmente comprometiendo la confidencialidad e integridad de los datos del usuario. La vulnerabilidad afecta al archivo /admin/model/addOrUpdate y se ha publicado públicamente. La versión 2.2.1 corrige esta vulnerabilidad.
Un atacante puede explotar esta vulnerabilidad manipulando el parámetro '模板前缀' (template prefix) en la página de administración de gestión de modelos. Al inyectar código JavaScript malicioso, el atacante podría robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos o realizar acciones en nombre del usuario autenticado. El impacto potencial incluye la pérdida de confidencialidad, integridad y disponibilidad de la aplicación OpenCms y los datos asociados. La naturaleza de XSS permite la ejecución de código en el contexto del usuario, lo que podría conducir a un compromiso más amplio del sistema.
Esta vulnerabilidad ha sido divulgada públicamente, lo que aumenta el riesgo de explotación. La baja puntuación CVSS (3.5) indica que la explotación puede requerir ciertas condiciones o interacciones del usuario. No se ha reportado explotación activa en campañas conocidas, pero la disponibilidad de la divulgación pública significa que los atacantes podrían desarrollar exploits. Publicada el 2025-01-24.
Organizations running OpenCms version 2.2 are at risk. Specifically, those with publicly accessible administration interfaces or those who allow user-supplied data to be directly reflected in web pages are particularly vulnerable. Shared hosting environments utilizing OpenCms may also be affected, as vulnerabilities in one user's installation can potentially impact others.
• generic web: Use curl or wget to test the /admin/model/addOrUpdate endpoint with a simple XSS payload in the 模板前缀 parameter. Check the response for signs of script execution.
curl -X POST /admin/model/addOrUpdate --data "模板前缀=<script>alert('XSS')</script>"• generic web: Examine web server access logs for requests to /admin/model/addOrUpdate containing suspicious characters or patterns in the 模板前缀 parameter.
• generic web: Review response headers for any unexpected content or modifications that could indicate XSS activity.
disclosure
Estado del Exploit
EPSS
0.15% (36% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar OpenCms a la versión 2.2.1 o superior, que incluye la corrección. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /admin/model/addOrUpdate. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos en el parámetro '模板前缀'. Verifique después de la actualización que la inyección de scripts no sea posible manipulando el parámetro '模板前缀'.
Actualice a una versión parcheada de opencms que solucione la vulnerabilidad XSS. Si no hay una versión disponible, revise el código de la función addOrUpdate en /admin/model/addOrUpdate y filtre o escapee correctamente la entrada del parámetro 模板前缀 para evitar la inyección de código malicioso.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-0708 is a cross-site scripting (XSS) vulnerability affecting OpenCms versions 2.2 through 2.2. It allows attackers to inject malicious scripts via the 模板前缀 parameter in the Add Model Management Page.
You are affected if you are running OpenCms version 2.2. Versions prior to 2.2.1 are vulnerable to this XSS attack.
Upgrade OpenCms to version 2.2.1 or later to resolve the vulnerability. Input validation and WAF rules can provide temporary mitigation.
While exploitation is not currently confirmed, the public disclosure and ease of XSS exploitation suggest active exploitation is possible.
Refer to the OpenCms security advisories page for the latest information and official announcements regarding CVE-2025-0708.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.