Resumen
El investigador 0xkarim_dix encontró, dentro del programa de divulgación del Departamento de Defensa de EE. UU. (deptofdefense), un portal SSL VPN accesible desde Internet que era vulnerable a Cross-Site Scripting reflejado (CWE-79). El fallo estaba en el parámetro user: su valor se devolvía en la respuesta sin sanear, de modo que el JavaScript metido ahí acababa ejecutándose en el navegador de la víctima.
El investigador asocia el fallo a la vulnerabilidad pública CVE-2025-0133, que permite a un atacante sin autenticar inyectar y ejecutar código en el navegador de quien abra un enlace manipulado. Es decir, se trata de una vulnerabilidad conocida del producto VPN presente en ese equipo, no de un desarrollo propio.
La dirección del equipo afectado, la URL exacta y la prueba de concepto aparecen ocultas en la versión divulgada. El reporte se clasificó con severidad media y figura como resuelto.
Datos del reporte:
- Enviado: 6 de julio de 2025
- Divulgado: 12 de enero de 2026
- CVE: CVE-2025-0133
Pasos de reproducción
La URL concreta está censurada en el reporte público, pero el procedimiento descrito es este:
- Abrir en un navegador la URL del endpoint SSL VPN con un payload de JavaScript en el parámetro
user(la prueba del investigador abre una ventanaprompt). - Comprobar que el navegador ejecuta el payload y aparece la ventana emergente de
prompt. - Confirmar que el valor del parámetro
userse refleja sin sanear en la respuesta.
Impacto
El escenario de ataque que plantea el reporte es sencillo: el atacante prepara un enlace al portal VPN con el script en el parámetro user y consigue que alguien con acceso a ese portal lo abra, por ejemplo mediante phishing o ingeniería social. Al abrirlo, el código se ejecuta de inmediato en el navegador de la víctima, lo que según el investigador podría llevar a:
- secuestro de la sesión;
- robo de credenciales;
- otros ataques contra el navegador.
El investigador subraya que el riesgo es mayor por tratarse de una pasarela SSL VPN corporativa, un tipo de equipo muy buscado por los atacantes.
Qué aprender de este caso
- Los portales VPN y otros equipos perimetrales exponen páginas web accesibles sin autenticación (inicio de sesión, errores, descargas de configuración). Al auditarlos, conviene probar cada parámetro que identifique al usuario, como
user, porque a menudo vuelve a aparecer en la respuesta. - Ante un CVE público de un appliance, lo primero es comprobar la versión de cada pasarela expuesta frente a los avisos del fabricante: un inventario actualizado de equipos perimetrales permite detectar a tiempo los que siguen siendo vulnerables.
- Si desarrollas una página de acceso que muestra de vuelta el nombre de usuario introducido, codifícalo para HTML en el punto de salida y añade una Content-Security-Policy que impida los scripts en línea, de modo que un payload reflejado no llegue a ejecutarse.