PT-2022-19558 · Unknown · Graphql-Upload

Publicado 2022-05-16 · Atualizado 2022-05-24 · CVE-2022-29353

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Graphql-upload versão 13.0.0

Descrição

A vulnerabilidade permite que invasores executem código arbitrário por meio de um nome de arquivo malicioso, explorando uma falha no módulo de upload de arquivos que permite o envio de arquivos arbitrários.

Recomendações

Para o Graphql-upload versão 13.0.0, considere desativar o módulo de upload de arquivos até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso à funcionalidade de upload de arquivos para minimizar o risco de execução de código arbitrário. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2022-29353

Produtos afetados

Graphql-Upload

Referências · 4

• 🔥 https://youtu.be/2kHm_henVM4 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-29353 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-29353 · Aviso do Fabricante
• https://t.me/cibsecurity/42747 · Publicação no Telegram