CVE-2025-8875criticalbajo ataqueCWE-502

CVE-2025-8875: fallo crítico en N-able N-central

Insecure Deserialization Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear N-central

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

80Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.4epss 2.3%
de la publicación al arma3 días
Publicada en NVD14 ago
1ª PoC+3d
CISA KEV13 ago
Acción exigida por CISAplazo federal: 2025-08-20

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

N-able N-central tiene una falla crítica en la forma de procesar datos no confiables, permitiendo que un atacante con acceso local ejecute código malicioso en el sistema. Esto podría dar a los atacantes control total sobre la computadora afectada.

Detalle técnico

La vulnerabilidad surge de la deserialización insegura (CWE-502) de datos no confiables en N-able N-central versiones anteriores a 2025.3.1, permitiendo ejecución arbitraria de código mediante objetos serializados malformados accesibles a usuarios locales. La explotación requiere acceso local y resulta en ejecución de código arbitrario con privilegios del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Deserialization of Untrusted Data vulnerability in N-able N-central allows Local Execution of Code.This issue affects N-central: before 2025.3.1.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Productos afectados
N-able · N-central
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — N-able N-central

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-86218CRITICALpre-authentication remote code executionEPSS 15.4%KEVCVE-2026-18577HIGHIncomplete patch leads to administrative account takeoverEPSS 14.6%KEVCVE-2026-18556HIGHUnauthenticated administrative account takeoverEPSS 7.9%KEVCVE-2025-8876CRITICALCommand Injection VulnerabilityEPSS 4.1%KEVCVE-2025-9316MEDIUMN-central unauthenticated sessionID generationEPSS 37.4%CVE-2025-11700HIGHN-central Multiple XXE Injection VulnerabilitiesEPSS 31.7%