PT-2024-13827 · Wwbn · Avideo

Claudio Bozzato · Publicado 2024-01-10 · Atualizado 2024-01-18 · CVE-2023-49863

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

WWBN AVideo dev master commit 15fed957fb

Descrição

Existe uma vulnerabilidade de divulgação de informações na funcionalidade de upload de imagens do arquivo aVideoEncoderReceiveImage.json.php. Uma solicitação HTTP especialmente criada pode levar à leitura arbitrária de arquivos. Essa vulnerabilidade é desencadeada pelo parâmetro downloadURL webpimage.

Recomendações

Para o WWBN AVideo dev master commit 15fed957fb, como solução temporária, considere restringir o acesso ao parâmetro downloadURL webpimage na funcionalidade de upload de imagens aVideoEncoderReceiveImage.json.php até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-610

CWE-73

Identificadores relacionados

CVE-2023-49863

Produtos afetados

Avideo

Referências · 5

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2023-1880 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2023-49863 · Nota de Segurança
• https://t.me/cvenotify/67904 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-49863 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1745111402614870137 · Publicação no Twitter