PT-2024-20583 · Discourse · Discourse Calendar

0-0Eth0 + 1 · Publicado 2024-02-22 · Atualizado 2025-02-05 · CVE-2024-24817

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Discourse Calendar anteriores à 0.4

Descrição

A vulnerabilidade permite que convidados para eventos criados em categorias privadas ou mensagens privadas sejam acessados por qualquer pessoa, mesmo que não estejam conectados. Trata-se de um problema no plugin Discourse Calendar para a plataforma de discussão de código aberto Discourse. Não há solução alternativa conhecida, mas colocar o site atrás de login required pode impedir o uso desse endpoint por usuários anônimos. No entanto, usuários conectados ainda podem obter a lista de convidados em tópicos privados.

Recomendações

Para versões anteriores à 0.4, atualize para a versão 0.4 do plugin discourse-calendar para resolver o problema.

Como solução alternativa temporária, considere colocar o site atrás de login required para impedir o uso do endpoint vulnerável por usuários anônimos.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-24817

GHSA-WWQ5-G5CP-C69F

Produtos afetados

Discourse Calendar

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24817.json · Exploit
• https://github.com/discourse/discourse-calendar/security/advisories/GHSA-wwq5-g5cp-c69f · Aviso do Fabricante
• https://github.com/discourse/discourse-calendar/commit/84ef46a38cf02748ecacad16c5d9c6fec12dc8da · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-24817 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-24817 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1760724288783409166 · Publicação no Twitter
• https://t.me/cvenotify/72235 · Publicação no Telegram
• https://t.me/cvenotify/110181 · Publicação no Telegram