PT-2024-18965 · Softwarex · Softwarex

Raul Onitza-Klugman · Publicado 2024-12-12 · Atualizado 2024-12-12 · CVE-2024-21574

Positive Technologies (AI Summary) · Pt

CVSS v4.0

10

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do software vulnerável e versões afetadas

SoftwareX (versões afetadas não especificadas)

Descrição

O problema decorre da falta de validação do campo pip em uma solicitação POST enviada ao endpoint “/customnode/install”, que é usado para instalar nós personalizados e é adicionado ao servidor pela extensão. Isso permite que um invasor crie uma solicitação que acione uma instalação do pip em um pacote ou URL controlado pelo usuário, resultando na execução remota de código (RCE) no servidor.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-21574

Produtos afetados

Softwarex

Referências · 8

• https://github.com/ltdrdata/ComfyUI-Manager/commit/ffc095a3e5acc1c404773a0510e6d055a6a72b0e · Nota
• https://github.com/ltdrdata/ComfyUI-Manager/blob/ffc095a3e5acc1c404773a0510e6d055a6a72b0e/glob/manager_server.py#L798 · Nota
• https://osv.dev/vulnerability/CVE-2024-21574 · Aviso do Fabricante
• https://t.me/latest_high_impact_cve/1639 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1867165684406395382 · Publicação no Twitter
• https://t.me/cvedetector/12755 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1867171851979387182 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-21574 · Nota de Segurança