PT-2024-20059 · Clickup · Clickup Desktop

Mykola Grymalyuk · Publicado 2024-03-23 · Atualizado 2025-09-18 · CVE-2024-23755

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do ClickUp Desktop anteriores à 3.3.77

Descrição

A vulnerabilidade permite a injeção de código devido a configurações específicas do Electron Fuses, com proteção inadequada contra injeção de código por meio de parâmetros como RunAsNode. Isso afeta tanto as versões para macOS quanto para Windows. Com mais de 10 milhões de usuários, o risco de exploração é significativo, podendo permitir que invasores locais acessem dados confidenciais.

Recomendações

Para versões do ClickUp Desktop anteriores à 3.3.77, atualize para a versão 3.3.77 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a configurações como RunAsNode para minimizar o risco de exploração.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-23755

Produtos afetados

Clickup Desktop

Referências · 16

• https://t.me/cveNotify/135836 · Publicação no Telegram
• https://t.me/cvenotify/74509 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-23755 · Aviso do Fabricante
• https://twitter.com/fletch_ai/status/1772445143376752923 · Publicação no Twitter
• https://twitter.com/socradar/status/1772248546839801872 · Publicação no Twitter
• https://electronjs.org/docs/latest/tutorial/fuses · Nota
• https://clickup.com/security/disclosures · Aviso do Fabricante
• https://twitter.com/Dinosn/status/1772136009179832353 · Publicação no Twitter
• https://t.me/pentestingnews/45098 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-23755 · Nota de Segurança
• https://twitter.com/the_yellow_fall/status/1772093401015767319 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1771661742570946630 · Publicação no Twitter
• https://t.me/cvenotify/90970 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1771697339289203009 · Publicação no Twitter
• https://clickup.com/terms/security-policy · Nota