CVE-2025-48927mediumbajo ataqueCWE-1188

CVE-2025-48927: fallo de gravedad media en TeleMessage service

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear service+ Monitorear TM SGNL

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Attendcvss 5.3epss 12%
de la publicación al arma
Publicada en NVD28 may
CISA KEV+34d
Acción exigida por CISAplazo federal: 2025-07-22

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

TeleMessage expone un endpoint de volcado de heap a través de Spring Boot Actuator, permitiendo que atacantes descarguen instantáneas de memoria que pueden contener contraseñas y tokens sensibles.

Detalle técnico

El endpoint /heapdump de Spring Boot Actuator es accesible públicamente sin autenticación, permitiendo que atacantes remotos obtengan volcados de heap que contienen información sensible de la memoria de la aplicación. Esta vulnerabilidad CWE-1188 afecta TeleMessage en versiones hasta 2025-05-05 y ha sido explotada en la práctica.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The TeleMessage service through 2025-05-05 configures Spring Boot Actuator with an exposed heap dump endpoint at a /heapdump URI, as exploited in the wild in May 2025.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Productos afectados
TeleMessage · service
CVEs relacionadas — TeleMessage service

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-48928MEDIUMCVE-2025-48928EPSS 0.6%KEVCVE-2025-48929MEDIUMCVE-2025-48929EPSS 0.3%CVE-2025-48925MEDIUMCVE-2025-48925EPSS 0.3%CVE-2025-48926MEDIUMCVE-2025-48926EPSS 0.3%CVE-2025-48930LOWCVE-2025-48930EPSS 0.1%CVE-2025-48931LOWCVE-2025-48931EPSS 0.1%