PT-2024-18303 · Limbas · Limbas

Cotool · Publicado 2024-02-22 · Atualizado 2025-04-01 · CVE-2024-1784

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Limbas versão 5.2.14

Descrição

Foi encontrada uma vulnerabilidade em uma funcionalidade desconhecida do arquivo main admin.php. A manipulação do argumento tab group leva a uma injeção de SQL. A complexidade de um ataque é bastante alta, e a exploração parece ser difícil. O código de exploração foi divulgado ao público e pode ser utilizado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de forma alguma.

Recomendações

Para a versão 5.2.14 do Limbas, como solução temporária, considere restringir o acesso ao arquivo main admin.php ou desativar a funcionalidade que utiliza o argumento tab group até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-1784

Produtos afetados

Limbas

Referências · 8

• 🔥 https://github.com/liyako/vulnerability/blob/main/POC/Limbas-Blind-SQL-injection.md · Exploit
• https://osv.dev/vulnerability/CVE-2024-1784 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1760832010900115894 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-1784 · Nota de Segurança
• https://t.me/cvenotify/117207 · Publicação no Telegram
• https://t.me/cvenotify/72267 · Publicação no Telegram
• https://vuldb.com/?ctiid.254575 · Nota
• https://vuldb.com/?id.254575 · Nota