« Volver al listado

CVE-2025-31129

Estado: AplazadaAlta (8.8)—

Jooby is a web framework for Java and Kotlin. The pac4j io.jooby.internal.pac4j.SessionStoreImpl#get module deserializes untrusted data. This vulnerability is fixed in 2.17.0 (2.x) and 3.7.0 (3.x).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector CVSS con UI:R indica interacción del usuario (deserialización de datos no confiables en sesión); CWE-502 (deserialization of untrusted data) en Java permite RCE. Impactos: ejecución de código (T1059) y potencial acceso a credenciales de sesión (T1078).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementApplication Developer GuidanceActive Directory ConfigurationUser TrainingUser Account ManagementRestrict Web-Based Content

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Jooby — JoobyAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-31129",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2025-31129",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2025-03-31T21:06:47.734865Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.8,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "jooby-project",
          "product": "jooby",
          "versions": [
            {
              "status": "affected",
              "version": ">= 3.0.0.M1, < 3.7.0"
            },
            {
              "status": "affected",
              "version": "< 2.17.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2025-03-31T19:15:43.023",
  "references": [
    {
      "url": "https://github.com/jooby-project/jooby/blob/v2.x/modules/jooby-pac4j/src/main/java/io/jooby/internal/pac4j/SessionStoreImpl.java#L39-L45",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/jooby-project/jooby/blob/v3.6.1/modules/jooby-pac4j/src/main/java/io/jooby/internal/pac4j/SessionStoreImpl.java#L77-L84",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/jooby-project/jooby/commit/3e13562cf36d7407813eae464e0f4b598de15692",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/jooby-project/jooby/security/advisories/GHSA-7c5v-895v-w4q5",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-502"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Jooby is a web framework for Java and Kotlin. The pac4j io.jooby.internal.pac4j.SessionStoreImpl#get module deserializes untrusted data. This vulnerability is fixed in 2.17.0 (2.x) and 3.7.0 (3.x)."
    },
    {
      "lang": "es",
      "value": "Jooby es un framework web para Java y Kotlin. El módulo io.jooby.internal.pac4j.SessionStoreImpl#get de pac4j deserializa datos no confiables. Esta vulnerabilidad se corrigió en las versiones 2.17.0 (2.x) y 3.7.0 (3.x)."
    }
  ],
  "lastModified": "2026-06-17T09:09:54.457",
  "sourceIdentifier": "security-advisories@github.com"
}