CVE-2025-71455mediumCWE-200

CVE-2025-71455: fallo de gravedad media en vtenext

vtenext before 25.02.2 Session Identifier Disclosure via Touch Web Service

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vtenext

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 5.9epss 0.3%
vtenext before 25.02.2 contains a session identifier disclosure vulnerability that allows attackers to read the PHPSESSID value returned by the Touch web service endpoint. Attackers who can run script in the vtenext origin, such as through cross-site scripting, can bypass the HttpOnly flag and hijack authenticated sessions.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Productos afectados
vtenext · vtenext
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — vtenext

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-71457CRITICALvtenext 25.02 before 25.02.1 Unverified Password Change via hub/rpwd.phpEPSS 0.4%CVE-2025-71456HIGHvtenext before 25.02.2 SQL Injection via fieldname in Fax EditViewEPSS 0.3%CVE-2025-71453MEDIUMvtenext before 25.02.2 Reflected XSS via widgetInfoList in HomeWidgetBlockListEPSS 0.2%CVE-2025-71454MEDIUMvtenext before 25.02.2 CSRF Protection Bypass via HTTP Method TamperingEPSS 0.2%