PT-2024-17454 · Horilla · Horilla

Sp1D3R · Publicado 2024-12-04 · Atualizado 2024-12-04 · CVE-2024-12138

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do horilla até a 1.2.1

Descrição

Foi encontrada uma vulnerabilidade crítica no horilla, afetando a função request new/get employee shift/create reimbursement/key result current value update/create meetings/create skills. A manipulação leva à deserialização. O ataque pode ser iniciado remotamente. A exploração foi divulgada ao público e pode estar em uso. O fornecedor foi contatado antecipadamente sobre essa divulgação, mas não respondeu de forma alguma.

Recomendações

Para versões até 1.2.1, como solução temporária, considere desativar a função request new/get employee shift/create reimbursement/key result current value update/create meetings/create skills até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Deserialization of Untrusted Data

RCE

Enumeração de Fraquezas

CWE-502

CWE-20

Identificadores relacionados

CVE-2024-12138

Produtos afetados

Horilla

Referências · 9

• 🔥 https://github.com/Sp1d3rL1/horilla-RCE · Exploit
• https://t.me/cvedetector/11991 · Publicação no Telegram
• https://t.me/cvenotify/103008 · Publicação no Telegram
• https://vuldb.com/?submit.451515 · Nota
• https://vuldb.com/?ctiid.286858 · Nota
• https://vuldb.com/?id.286858 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-12138 · Nota de Segurança
• https://twitter.com/CVEnew/status/1864317972883386735 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-12138 · Aviso do Fabricante