Plataforma
php
Componente
cve-md
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en admintwo, específicamente en la versión 1.0. Esta falla permite a un atacante inyectar scripts maliciosos a través de la manipulación del argumento 'motto' en el archivo /user/updateSet. La vulnerabilidad ha sido divulgada públicamente y puede ser explotada de forma remota. La versión 1.0.1 ya incluye la corrección.
La explotación exitosa de esta vulnerabilidad de XSS permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite la página vulnerable. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. El impacto se amplifica si la aplicación admintwo se utiliza para gestionar información sensible o si los usuarios tienen privilegios elevados. Un atacante podría, por ejemplo, robar credenciales de administrador o realizar acciones en nombre de un usuario legítimo.
Esta vulnerabilidad ha sido divulgada públicamente el 4 de abril de 2025. No se ha reportado su inclusión en el KEV de CISA ni se han identificado campañas de explotación activas. Sin embargo, la disponibilidad de la divulgación pública aumenta el riesgo de que sea explotada, especialmente si no se aplican las mitigaciones recomendadas. La naturaleza de XSS implica que la explotación puede ser relativamente sencilla para atacantes con conocimientos básicos.
Admintwo installations running version 1.0 are directly at risk. Shared hosting environments that utilize admintwo are particularly vulnerable, as a compromise of one user's installation could potentially impact other users on the same server. Organizations relying on admintwo for critical functions should prioritize patching.
• php / web:
curl -I 'http://your-admintwo-site.com/user/updateSet?motto=<script>alert("XSS")</script>' | grep HTTP/1.1• generic web:
curl -s 'http://your-admintwo-site.com/user/updateSet?motto=<script>alert("XSS")</script>' | grep alertdisclosure
Estado del Exploit
EPSS
0.15% (35% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar admintwo a la versión 1.0.1, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /user/updateSet. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos en el argumento 'motto'. Verifique que la actualización se haya realizado correctamente revisando la versión instalada de admintwo.
Actualizar a una versión parcheada o eliminar el software. Debido a que no hay información sobre una versión corregida, la única solución es eliminar el software o contactar al proveedor para obtener un parche.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-3251 is a cross-site scripting (XSS) vulnerability in admintwo version 1.0, allowing attackers to inject malicious scripts via the 'motto' parameter.
Yes, if you are running admintwo version 1.0, you are affected by this vulnerability. Versions prior to 1.0.1 are vulnerable.
Upgrade to admintwo version 1.0.1 to resolve the vulnerability. Input validation and WAF rules can provide temporary mitigation.
While no widespread exploitation has been confirmed, the public disclosure suggests attackers may be actively seeking to exploit this vulnerability.
Refer to the admintwo project's official website or repository for the advisory related to CVE-2025-3251.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.