CVE-2025-50579mediumCWE-1259

CVE-2025-50579

Publicada el

Seguir esta CVE

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 0.4%
En resumen

Nginx Proxy Manager v2.12.3 tiene una falla de seguridad donde no valida correctamente qué sitios web pueden acceder a sus datos. Esto permite que atacantes engañen al navegador de un usuario para enviar tokens de autenticación sensibles a un sitio malicioso.

Detalle técnico

La aplicación no valida adecuadamente el header Origin en las políticas CORS, permitiendo que dominios no autorizados soliciten y reciban tokens JWT. Un atacante puede explotar esto mediante script ejecutado en el navegador para exfiltrar tokens de autenticación a un servidor controlado, resultando en secuestro de sesión o elevación de privilegios no autorizada.

Resumen generado y traducido por IA a partir de la descripción oficial.
A CORS misconfiguration in Nginx Proxy Manager v2.12.3 allows unauthorized domains to access sensitive data, particularly JWT tokens, due to improper validation of the Origin header. This misconfiguration enables attackers to intercept tokens using a simple browser script and exfiltrate them to a remote attacker-controlled server, potentially leading to unauthorized actions within the application.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Productos afectados
n/a · n/a