PT-2024-17500 · Unknown · Code-Projects Online Notice Board

Lamentxu · Publicado 2024-12-05 · Atualizado 2024-12-10 · CVE-2024-12233

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

code-projects Online Notice Board versão 1.0

Descrição

Uma falha crítica afeta o processamento do arquivo /registration.php do componente Profile Picture Handler. A manipulação do argumento img permite o envio irrestrito de arquivos. O ataque pode ser iniciado remotamente.

Recomendações

Para a versão 1.0, como solução temporária, considere desativar o componente Profile Picture Handler até que um patch esteja disponível. Restrinja o acesso ao arquivo /registration.php para minimizar o risco de exploração. Evite usar o argumento img no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2024-12233

Produtos afetados

Code-Projects Online Notice Board

Referências · 10

• 🔥 https://github.com/LamentXU123/cve/blob/main/RCE1.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-12233 · Nota de Segurança
• https://vuldb.com/?ctiid.286979 · Nota
• https://vuldb.com/?id.286979 · Nota
• https://twitter.com/VulmonFeeds/status/1864745066016682062 · Publicação no Twitter
• https://t.me/cvedetector/12126 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1864713270914891951 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-12233 · Aviso do Fabricante
• https://vuldb.com/?submit.456458 · Nota
• https://code-projects.org · Nota