PT-2024-19275 · Unknown · @Fastify/Swagger-Ui

Knolleary · Publicado 2024-01-15 · Atualizado 2024-02-16 · CVE-2024-22207

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do fastify-swagger-ui anteriores à 2.1.0

Descrição

A configuração padrão do @fastify/swagger-ui, sem a opção baseDir definida, faz com que todos os arquivos no diretório do módulo fiquem expostos por meio de rotas HTTP servidas pelo módulo. Esse problema foi corrigido na versão 2.1.0. Definir a opção baseDir também pode contornar esse problema.

Recomendações

Para versões anteriores à 2.1.0, atualize para a versão 2.1.0 para resolver o problema.

Como solução temporária, considere definir a opção baseDir para minimizar a exposição.

Exploit

Correção

Enumeração de Fraquezas

CWE-1188

Identificadores relacionados

CVE-2024-22207

GHSA-62JR-84GF-WMG4

Produtos afetados

@Fastify/Swagger-Ui

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/22xxx/CVE-2024-22207.json · Exploit
• https://github.com/fastify/fastify-swagger-ui/security/advisories/GHSA-62jr-84gf-wmg4 · Aviso do Fabricante
• https://github.com/fastify/fastify-swagger-ui · Nota
• https://github.com/fastify/fastify-swagger-ui/commit/13d799a2c5f14d3dd5b15892e03bbcbae63ee6f7 · Correção
• https://osv.dev/vulnerability/GHSA-62jr-84gf-wmg4 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1746949119036305660 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-22207 · Nota de Segurança
• https://t.me/cvenotify/68402 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-22207 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1746923383764176896 · Publicação no Twitter
• https://security.netapp.com/advisory/ntap-20240216-0002 · Nota