PT-2024-17686 · Chunghwa Telecom · Tenderdoctransfer

Chumy Tsai · Publicado 2024-12-16 · Atualizado 2024-12-21 · CVE-2024-12642

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

TenderDocTransfer da Chunghwa Telecom (versões afetadas não especificadas)

Descrição

O aplicativo configura um servidor web local simples e fornece APIs para comunicação com o site de destino. Devido à falta de proteção contra CSRF nas APIs, invasores remotos não autenticados poderiam utilizar essas APIs por meio de phishing. Além disso, uma das APIs contém uma vulnerabilidade de Relative Path Traversal, permitindo que invasores gravem arquivos arbitrários em qualquer caminho no sistema do usuário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Relative Path Traversal

CSRF

Enumeração de Fraquezas

CWE-23

CWE-352

Identificadores relacionados

CVE-2024-12642

Produtos afetados

Tenderdoctransfer

Referências · 9

• https://twitter.com/CVEnew/status/1868548911822147697 · Publicação no Twitter
• https://t.me/cvenotify/104352 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/1659 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-12642 · Nota de Segurança
• https://t.me/cvedetector/12969 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-12642 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1870348529363030424 · Publicação no Twitter
• https://twcert.org.tw/tw/cp-132-8294-44d13-1.html · Nota
• https://twcert.org.tw/en/cp-139-8300-2eaa1-2.html · Nota