PT-2024-20680 · Raspap · Raspap

Torada · Publicado 2024-03-15 · Atualizado 2025-04-09 · CVE-2024-2497

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

RaspAP raspap-webgui versão 3.0.9

Descrição

Uma falha crítica afeta o processamento do arquivo includes/provider.php no componente HTTP POST Request Handler. A manipulação do argumento country leva à injeção de código. Essa falha pode ser explorada remotamente. O fornecedor foi contatado sobre esta divulgação, mas não respondeu.

Recomendações

Para o RaspAP raspap-webgui versão 3.0.9, considere desativar o arquivo includes/provider.php ou restringir o acesso ao componente HTTP POST Request Handler até que uma correção esteja disponível. Evite usar o argumento country no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-2497

GHSA-99WG-VMVQ-2CP5

Produtos afetados

Raspap

Referências · 11

• 🔥 https://toradah.notion.site/Code-Injection-Leading-to-Remote-Code-Execution-RCE-in-RaspAP-Web-GUI-d321e1a416694520bec7099253c65060?pvs=4 · Exploit
• https://github.com/RaspAP/raspap-webgui · Nota
• https://osv.dev/vulnerability/GHSA-99wg-vmvq-2cp5 · Aviso do Fabricante
• https://vuldb.com/?id.256919 · Nota
• https://twitter.com/CVEnew/status/1768688489615479132 · Publicação no Twitter
• https://vuldb.com/?ctiid.256919 · Nota
• https://t.me/cvenotify/74084 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-2497 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-2497 · Nota de Segurança
• https://t.me/cvenotify/73981 · Publicação no Telegram
• https://t.me/cvenotify/118462 · Publicação no Telegram