PT-2024-20588 · Pimcore · Pimcore Admin Classic Bundle

V32Y142Y · Publicado 2024-02-07 · Atualizado 2024-02-15 · CVE-2024-24822

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Admin Classic Bundle do Pimcore anteriores à 1.3.3

Descrição

A falha permite que um invasor crie, exclua, etc., tags sem ter permissão para fazê-lo, devido a uma falha no controle de acesso. Isso pode levar à adição de dados falsos e afetar a integridade e a disponibilidade do sistema.

Recomendações

Para versões anteriores à 1.3.3, atualize para a versão 1.3.3 para resolver o problema.

Como solução temporária, pode-se aplicar o patch manualmente.

Restrinja o acesso às funcionalidades de criação e exclusão de tags até que o problema seja resolvido.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-24822

GHSA-3RFR-MPFJ-2JWQ

Produtos afetados

Pimcore Admin Classic Bundle

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24822.json · Exploit
• https://github.com/pimcore/admin-ui-classic-bundle · Nota
• https://github.com/pimcore/admin-ui-classic-bundle/commit/24660b6d5ad9cbcb037a48d4309a6024e9adf251 · Correção
• https://github.com/pimcore/admin-ui-classic-bundle/security/advisories/GHSA-3rfr-mpfj-2jwq · Aviso do Fabricante
• https://github.com/pimcore/admin-ui-classic-bundle/pull/412 · Correção
• https://osv.dev/vulnerability/CVE-2024-24822 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-24822 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3rfr-mpfj-2jwq · Aviso do Fabricante
• https://twitter.com/v32y142y/status/1756417538626331105 · Publicação no Twitter
• https://t.me/cvenotify/70471 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1755285224588742998 · Publicação no Twitter
• https://t.me/cvenotify/71580 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1755313430251122853 · Publicação no Twitter