PT-2022-3504 · Roxy-Wi · Roxy-Wi

Aidaho12 + 1 · Publicado 2022-07-06 · Atualizado 2022-07-14 · CVE-2022-31126

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do Roxy-wi anteriores à 6.1.1.0

Descrição

Uma vulnerabilidade no Roxy-wi permite que um invasor remoto não autenticado execute código enviando uma solicitação HTTP especialmente criada para o arquivo “/app/options.py”. Esse problema está relacionado à neutralização incorreta de elementos especiais na saída, o que pode ser explorado por um invasor remoto para executar código arbitrário.

Recomendações

Para versões do Roxy-wi anteriores à 6.1.1.0, recomenda-se que os usuários atualizem para uma versão que contenha a correção para este problema. Como solução alternativa temporária, considere restringir o acesso ao arquivo “/app/options.py” até que um patch esteja disponível. Não há soluções alternativas conhecidas para este problema além da atualização.

Exploit

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

BDU:2022-04285

CVE-2022-31126

GHSA-MH86-878H-43C9

Produtos afetados

Roxy-Wi

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31126.json · Exploit
• 🔥 https://exploit-db.com/exploits/51227 · Exploit
• https://github.com/hap-wi/roxy-wi/security/advisories/GHSA-mh86-878h-43c9 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-31126 · Nota de Segurança
• https://bdu.fstec.ru/vul/2022-04285 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-31126 · Aviso do Fabricante
• https://t.me/cvenotify/32700 · Publicação no Telegram
• https://t.me/cibsecurity/45692 · Publicação no Telegram