CVE-2022-25172highCWE-1004

CVE-2022-25172: fallo de gravedad alta en InHand Networks InRouter302

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear InRouter302

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 1.0%
En resumen

La interfaz web del InRouter302 almacena cookies de sesión sin la protección HttpOnly, permitiendo que atacantes roben estas cookies mediante ataques con JavaScript. Esto habilita acceso no autorizado a cuentas de usuario si un atacante logra inyectar scripts maliciosos.

Detalle técnico

La ausencia de la bandera HttpOnly en cookies de sesión del InRouter302 V3.5.4 permite que ataques XSS accedan y exfiltren tokens de sesión mediante JavaScript. La vulnerabilidad requiere un vector XSS previo pero posibilita el robo de sesión completo, llevando a bypass de autenticación y compromiso de acceso administrativo.

Resumen generado y traducido por IA a partir de la descripción oficial.
An information disclosure vulnerability exists in the web interface session cookie functionality of InHand Networks InRouter302 V3.5.4. The session cookie misses the HttpOnly flag, making it accessible via JavaScript and thus allowing an attacker, able to perform an XSS attack, to steal the session cookie.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
InHand Networks · InRouter302
CVEs relacionadas — InHand Networks InRouter302

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-26085CRITICALCVE-2022-26085EPSS 12.7%CVE-2022-26042CRITICALCVE-2022-26042EPSS 8.6%CVE-2022-26420CRITICALCVE-2022-26420EPSS 5.9%CVE-2022-26075CRITICALCVE-2022-26075EPSS 5.9%CVE-2022-26007CRITICALCVE-2022-26007EPSS 5.4%CVE-2022-26518CRITICALCVE-2022-26518EPSS 4.9%