PT-2021-11086 · Qcubed · Qcubed

CVE-2020-24914 · Publicado 2021-03-04 · Atualizado 2026-07-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

qcubed versões 3.1.1 e anteriores

Descrição:

Um bug de injeção de objeto PHP no arquivo profile.php deserializa os dados não confiáveis da variável POST strProfileData, permitindo que um invasor não autenticado execute código por meio de uma solicitação POST maliciosa.

Recomendações:

Para as versões 3.1.1 e anteriores, considere desativar a funcionalidade do arquivo profile.php até que um patch esteja disponível para impedir a exploração do bug de injeção de objeto PHP. Restrinja o acesso à variável POST strProfileData para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

CWE-915

Identificadores relacionados

CVE-2020-24914

GHSA-7W3C-JGH7-CWJW

Produtos afetados

Qcubed

Referências · 16

• 🔥 http://seclists.org/fulldisclosure/2021/Mar/28 · Exploit
• 🔥 https://tech.feedyourhead.at/content/QCubed-PHP-Object-Injection-CVE-2020-24914 · Exploit
• 🔥 https://ait.ac.at/themen/cyber-security/pentesting/security-advisories/ait-sa-20210215-01 · Exploit
• https://github.com/qcubed/qcubed/pull/1320/files · Nota
• https://github.com/qcubed/qcubed · Nota
• https://twitter.com/pdnuclei/status/1945664809569075683 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2020-24914 · Aviso do Fabricante
• http://packetstormsecurity.com/files/161758/QCubed-3.1.1-PHP-Object-Injection.html · Nota
• http://qcubed.com · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-24914 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7w3c-jgh7-cwjw · Aviso do Fabricante
• https://t.me/cibsecurity/24445 · Publicação no Telegram
• https://t.me/cvenotify/10870 · Publicação no Telegram
• https://t.me/defcon_news/71120 · Publicação no Telegram
• https://t.me/cveNotify/192055 · Publicação no Telegram