PT-2024-20111 · Ledgersmb+3 · Ledgersmb+3

Georgios Roumeliotis · Publicado 2024-02-02 · Atualizado 2025-07-17 · CVE-2024-23831

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do LedgerSMB anteriores à 1.10.30

Versões do LedgerSMB anteriores à 1.11.9

Descrição

O LedgerSMB é um sistema de contabilidade por partidas dobradas gratuito baseado na web. Quando um administrador do banco de dados do LedgerSMB tem uma sessão ativa em “/setup.pl”, um invasor pode induzir o administrador a clicar em um link que envia automaticamente uma solicitação para “/setup.pl” sem o consentimento do administrador. Essa solicitação pode ser usada para criar uma nova conta de usuário com privilégios totais do aplicativo (“/login.pl”), levando à escalada de privilégios.

Recomendações

Para versões anteriores à 1.10.30, atualize para a versão 1.10.30 ou posterior.

Para versões anteriores à 1.11.9, atualize para a versão 1.11.9 ou posterior.

Como solução temporária, considere restringir o acesso ao endpoint “/setup.pl” para minimizar o risco de exploração.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-23831

GHSA-98FF-F638-QXJM

USN-7647-1

Produtos afetados

Debian

Ledgersmb

Linuxmint

Ubuntu

Referências · 22

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23831.json · Exploit
• https://github.com/ledgersmb/LedgerSMB/commit/8c2ae5be68a782d62cb9c0e17c0127bf30ef4165 · Correção
• https://github.com/ledgersmb/LedgerSMB/security/advisories/GHSA-98ff-f638-qxjm · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-23831 · Aviso do Fabricante
• https://twitter.com/twelvesec/status/1789727749847876025 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1753446336190406676 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1753471206999674895 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2021-3731 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-23831 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23831 · Nota de Segurança
• https://t.me/cvenotify/70909 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2021-3693 · Aviso do Fabricante
• https://twitter.com/inbbupdates/status/1754852461792080103 · Publicação no Twitter
• https://ubuntu.com/security/notices/USN-7647-1 · Aviso do Fabricante
• https://twitter.com/twelvesec/status/1772264933960388809 · Publicação no Twitter