CVE-2025-34026criticalbajo ataqueCWE-288

CVE-2025-34026: fallo crítico en Versa Concerto

Versa Concerto Actuator Authentication Bypass Information Leak

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Concerto

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.2epss 82%
de la publicación al arma
Publicada en NVD21 may
CISA KEV+246d
Acción exigida por CISAplazo federal: 2026-02-12

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Versa Concerto SD-WAN tiene una falla de seguridad que permite que los atacantes eludan la protección de inicio de sesión y accedan a áreas administrativas sensibles sin credenciales válidas. Los atacantes pueden entonces ver información detallada del sistema, como volcados de memoria y registros de rastreo que podrían revelar datos confidenciales.

Detalle técnico

Una vulnerabilidad de bypass de autenticación en la configuración del reverse proxy Traefik de Versa Concerto permite que atacantes no autenticados accedan a endpoints internos del Actuator. Al explotar esta falla, un atacante puede recuperar heap dumps y trace logs, potencialmente exponiendo información operacional sensible y credenciales. Las versiones afectadas van desde 12.1.2 hasta 12.2.0.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The Versa Concerto SD-WAN orchestration platform is vulnerable to an authentication bypass in the Traefik reverse proxy configuration, allowing at attacker to access administrative endpoints. The internal Actuator endpoint can be leveraged for access to heap dumps and trace logs.This issue is known to affect Concerto from 12.1.2 through 12.2.0. Additional versions may be vulnerable.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:L/SA:N
Productos afectados
Versa · Concerto
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Versa Concerto

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-34027CRITICALVersa Concerto Authentication Bypass File Write Remote Code ExecutionEPSS 46.4%CVE-2025-34025HIGHVersa Concerto Insecure Docker Mount Container EscapeEPSS 0.6%