Descripción
Gladinet CentreStack y Triofox contienen una vulnerabilidad de uso de clave criptográfica embebida en el código (hard-coded) en la forma en que la aplicación gestiona las claves utilizadas para la verificación de integridad de ViewState. Su explotación exitosa permite a un atacante falsificar payloads de ViewState para su deserialización en el servidor, lo que permite la ejecución remota de código (RCE).
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de gladinetsupport.s3.us-east-1.amazonaws.com gladinetsupport.s3.us-east-1.amazonaws.com/gladinet/securityadvisory-…
- Aviso de gladinetsupport.s3.us-east-1.amazonaws.com gladinetsupport.s3.us-east-1.amazonaws.com/gladinet/securityadvisory-…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-30406
Ver el texto original en inglés (CISA)
Gladinet CentreStack and Triofox Use of Hard-coded Cryptographic Key Vulnerability
Gladinet CentreStack and Triofox contains a use of hard-coded cryptographic key vulnerability in the way that the application manages keys used for ViewState integrity verification. Successful exploitation allows an attacker to forge ViewState payloads for server-side deserialization, allowing for remote code execution.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://gladinetsupport.s3.us-east-1.amazonaws.com/gladinet/securityadvisory-cve-2005.pdf ; https://gladinetsupport.s3.us-east-1.amazonaws.com/gladinet/securityadvisory-cve-2025-triofox.pdf ; https://nvd.nist.gov/vuln/detail/CVE-2025-30406
Otras vulnerabilidades de Gladinet en el catálogo
- CVE-2025-14611 Vulnerabilidad de claves criptográficas embebidas en el código (hard-coded) en Gladinet CentreStack y Triofox Alta 15-12-2025
- CVE-2025-12480 Vulnerabilidad de control de acceso incorrecto en Gladinet Triofox Alta 12-11-2025
- CVE-2025-11371 Vulnerabilidad de archivos o directorios accesibles a terceros externos en Gladinet CentreStack y Triofox Alta 04-11-2025