PT-2022-19186 · Wwbn · Avideo

Claudio Bozzato · CVE-2022-28710 · Publicado 2022-08-22 · Atualizado 2022-08-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

WWBN AVideo versões 11.6 e dev master commit 3f7c0364

Descrição

Existe uma falha de divulgação de informações na funcionalidade chunkFile, permitindo que um invasor leia arquivos arbitrários ao enviar uma solicitação HTTP especialmente criada.

Recomendações

Para a versão 11.6, atualize para uma versão que corrija este problema.

Para o dev master commit 3f7c0364, atualize para um commit que corrija este problema.

Como solução temporária, considere restringir o acesso à funcionalidade chunkFile até que um patch esteja disponível.

Exploit

Correção

Enumeração de Fraquezas

CWE-73

CWE-610

Identificadores relacionados

CVE-2022-28710

Produtos afetados

Avideo

Referências · 5

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/28xxx/CVE-2022-28710.json · Exploit
• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2022-1550 · Exploit
• https://github.com/WWBN/AVideo/blob/e04b1cd7062e16564157a82bae389eedd39fa088/updatedb/updateDb.v12.0.sql · Nota
• https://osv.dev/vulnerability/CVE-2022-28710 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-28710 · Nota de Segurança