PT-2024-17690 · Chunghwa Telecom · Topm-Client

趙偉恆 · Publicado 2024-12-16 · Atualizado 2024-12-21 · CVE-2024-12646

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

topm-client da Chunghwa Telecom (versões afetadas não especificadas)

Descrição

O aplicativo topm-client configura um servidor web local simples e fornece APIs para comunicação com o site de destino. Devido à falta de proteção contra CSRF nas APIs, invasores remotos não autenticados poderiam utilizar essas APIs por meio de phishing. Além disso, uma das APIs contém uma vulnerabilidade de Absolute Path Traversal, permitindo que invasores excluam arquivos arbitrários no sistema do usuário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-36

CWE-352

Identificadores relacionados

CVE-2024-12646

Produtos afetados

Topm-Client

Referências · 9

• https://twcert.org.tw/tw/cp-132-8298-10b36-1.html · Nota
• https://t.me/latest_high_impact_cve/1659 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-12646 · Nota de Segurança
• https://twitter.com/cracbot/status/1870348534085746889 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1868579534783566237 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1868555566978683230 · Publicação no Twitter
• https://twcert.org.tw/en/cp-139-8304-b83f8-2.html · Nota
• https://t.me/cvedetector/12973 · Publicação no Telegram
• https://t.me/cvenotify/104356 · Publicação no Telegram