PT-2024-17781 · Unknown · Treasurehuntgame Treasurehunt

Jotaespig · Publicado 2024-12-22 · Atualizado 2025-01-10 · CVE-2024-12894

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

TreasureHuntGame TreasureHunt até 963e0e0

Descrição

Foi detectada uma falha crítica no TreasureHuntGame TreasureHunt, afetando uma função desconhecida do arquivo TreasureHunt/acesso.php. A manipulação do argumento usuario leva à injeção de SQL. É possível lançar o ataque remotamente. Este produto utiliza um lançamento contínuo para entrega contínua e, portanto, não há detalhes de versão disponíveis para as versões afetadas ou atualizadas.

Recomendações

Para corrigir este problema, recomenda-se aplicar um patch. Especificamente, deve-se aplicar o patch denominado 8bcc649abc35b7734951be084bb522a532faac4e. Como solução temporária, considere restringir o acesso à função vulnerável no arquivo TreasureHunt/acesso.php até que o patch seja aplicado. Além disso, evite usar o argumento usuario no arquivo afetado para minimizar o risco de exploração.

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-12894

Produtos afetados

Treasurehuntgame Treasurehunt

Referências · 9

• https://vuldb.com/?id.289164 · Nota
• https://t.me/cvenotify/105252 · Publicação no Telegram
• https://github.com/TreasureHuntGame/TreasureHunt/commit/8bcc649abc35b7734951be084bb522a532faac4e · Correção
• https://osv.dev/vulnerability/CVE-2024-12894 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1870813408565587973 · Publicação no Twitter
• https://vuldb.com/?ctiid.289164 · Nota
• https://t.me/cvedetector/13511 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-12894 · Nota de Segurança
• https://twitter.com/CVEnew/status/1870815215492673932 · Publicação no Twitter