« Volver al listado

CVE-2025-70515

Estado: AplazadaSin puntuar—

El componente de registro del dispositivo del firmware Fanvil x7a versión 2.6.0.1182 no sanea ni codifica correctamente los datos reflejados proporcionados por el usuario. La falta de saneamiento permite la inyección de HTML, que puede utilizarse para ejecutar código JavaScript malicioso en cualquier navegador objetivo que renderice el componente de registro del dispositivo.

Traducción automática del texto original de NVD (en inglés).

CVSS

NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Fanvil — X7AAI

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-70515",
  "cveTags": [],
  "metrics": {},
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "vendor": "n/a",
          "product": "n/a",
          "versions": [
            {
              "status": "affected",
              "version": "n/a"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-07T15:16:51.670",
  "references": [
    {
      "url": "http://download.fanvil.com/Firmware/Release/X7A/",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://www.darkpoint.ca/blog/2026/02/27/Fanvil-x7a-PA2S-Vulnerability-Disclosure",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://www.fanvil.com/products/p1/x/20210921/5043.html",
      "source": "cve@mitre.org"
    }
  ],
  "vulnStatus": "Deferred",
  "descriptions": [
    {
      "lang": "en",
      "value": "The device log component of Fanvil x7a firmware version 2.6.0.1182 does not properly sanitize or encode reflected user supplied data. The lack of sanitization allows for the injection of HTML which can be used to execute malicious JavaScript code on any target browser which renders the device log component."
    }
  ],
  "lastModified": "2026-10-07T15:57:37.147",
  "sourceIdentifier": "cve@mitre.org"
}