PT-2024-18976 · Nonebot2 · Nonebot2

Mnixry · Publicado 2024-02-09 · Atualizado 2024-03-03 · CVE-2024-21624

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.7

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do nonebot2 anteriores à 2.2.0

Descrição

Este problema diz respeito a um possível vazamento de informações, como variáveis de ambiente, quando desenvolvedores utilizam MessageTemplate e incorporam dados fornecidos pelo usuário em modelos. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há informações sobre incidentes reais em que este problema tenha sido explorado. Os detalhes técnicos sobre a exploração incluem o uso de MessageTemplate e a incorporação de dados fornecidos pelo usuário em modelos, o que pode levar a vazamentos de informações.

Recomendações

Para versões do nonebot2 anteriores à 2.2.0, atualize para a versão 2.2.0 ou posterior para se proteger contra a vulnerabilidade.

Como solução alternativa temporária, considere filtrar sublinhados antes de incorporar entradas do usuário no MessageTemplate para minimizar o risco de exploração.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-1336

CWE-200

Identificadores relacionados

CVE-2024-21624

GHSA-59J8-776V-XXXG

PYSEC-2024-37

Produtos afetados

Nonebot2

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/21xxx/CVE-2024-21624.json · Exploit
• https://github.com/nonebot/nonebot2/commit/b65b3b438c95894654fd9081139989c757bdc6c1 · Nota
• https://github.com/nonebot/nonebot2 · Nota
• https://github.com/nonebot/nonebot2/security/advisories/GHSA-59j8-776v-xxxg · Aviso do Fabricante
• https://github.com/nonebot/nonebot2/pull/2509 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/nonebot2/PYSEC-2024-37.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-21624 · Nota de Segurança
• https://t.me/cvenotify/70891 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1756129008125723087 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-21624 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-37 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1756083190974808106 · Publicação no Twitter
• https://t.me/cvenotify/71711 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-59j8-776v-xxxg · Aviso do Fabricante
• https://twitter.com/Esparta6108713/status/1764323036222656528 · Publicação no Twitter