PT-2024-13826 · Wwbn · Avideo

Claudio Bozzato · Publicado 2024-01-10 · Atualizado 2024-01-18 · CVE-2023-49862

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

WWBN AVideo dev master commit 15fed957fb

Descrição

Existe uma vulnerabilidade de divulgação de informações na funcionalidade de upload de imagens do arquivo aVideoEncoderReceiveImage.json.php. Uma solicitação HTTP especialmente criada pode levar à leitura arbitrária de arquivos. Essa vulnerabilidade é desencadeada pelo parâmetro downloadURL gifimage.

Recomendações

Como solução temporária, considere restringir o acesso ao arquivo aVideoEncoderReceiveImage.json.php até que um patch esteja disponível.

Evite usar o parâmetro downloadURL gifimage na funcionalidade afetada até que a vulnerabilidade seja resolvida.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-610

CWE-73

Identificadores relacionados

CVE-2023-49862

Produtos afetados

Avideo

Referências · 6

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2023-1880 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2023-49862 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1745137381722726888 · Publicação no Twitter
• https://t.me/cvenotify/67903 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1745111403780845750 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-49862 · Aviso do Fabricante