PT-2024-17577 · Pyload · Pyload

Gammac0De · Publicado 2024-11-15 · Atualizado 2024-11-19 · CVE-2024-1240

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

pyload/pyload versão 0.5.0

Descrição

Existe uma vulnerabilidade de redirecionamento aberto devido ao tratamento inadequado do parâmetro next na funcionalidade de login. Isso permite que um invasor redirecione usuários para sites maliciosos, podendo levar a phishing ou outras atividades maliciosas.

Recomendações

Para a versão 0.5.0 do pyload/pyload, atualize para o pyload-ng 0.5.0b3.dev79 para resolver o problema. Como solução temporária, considere restringir o uso do parâmetro next na funcionalidade de login para minimizar o risco de exploração.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2024-1240

PYSEC-2024-123

Produtos afetados

Pyload

Referências · 9

• 🔥 https://huntr.com/bounties/eef9513d-ccc3-4030-b574-374c5e7b887e · Exploit
• https://github.com/pyload/pyload/commit/fe94451dcc2be90b3889e2fd9d07b483c8a6dccd · Correção
• https://t.me/cvenotify/102186 · Publicação no Telegram
• https://t.me/cvedetector/11057 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-1240 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2024-123 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-1240 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1857445796922220983 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1857381721483923509 · Publicação no Twitter