Ledgersmb · Ledgersmb · CVE-2024-23831
**Nome do software vulnerável e versões afetadas**
Versões do LedgerSMB anteriores à 1.10.30
Versões do LedgerSMB anteriores à 1.11.9
**Descrição**
O LedgerSMB é um sistema de contabilidade por partidas dobradas gratuito baseado na web. Quando um administrador do banco de dados do LedgerSMB tem uma sessão ativa em “/setup.pl”, um invasor pode induzir o administrador a clicar em um link que envia automaticamente uma solicitação para “/setup.pl” sem o consentimento do administrador. Essa solicitação pode ser usada para criar uma nova conta de usuário com privilégios totais do aplicativo (“/login.pl”), levando à escalada de privilégios.
**Recomendações**
Para versões anteriores à 1.10.30, atualize para a versão 1.10.30 ou posterior.
Para versões anteriores à 1.11.9, atualize para a versão 1.11.9 ou posterior.
Como solução temporária, considere restringir o acesso ao endpoint “/setup.pl” para minimizar o risco de exploração.