PT-2024-20995 · Ruvaroa · Ruvaroa

Mr-Xn · Publicado 2024-05-08 · Atualizado 2024-07-03 · CVE-2024-25533

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões 6.01 a 12.01 do RuvarOA

Descrição

Verificou-se que mensagens de erro no RuvarOA revelavam o caminho físico do site, especificamente no endpoint /WorkFlow/OfficeFileUpdate.aspx. Esse problema pode permitir que invasores gravem arquivos no servidor ou executem comandos arbitrários por meio de instruções SQL maliciosas.

Recomendações

Para as versões 6.01 a 12.01, considere restringir o acesso ao endpoint /WorkFlow/OfficeFileUpdate.aspx até que uma correção esteja disponível. Como solução temporária, evite usar instruções SQL maliciosas que possam explorar essa vulnerabilidade. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-25533

Produtos afetados

Ruvaroa

Referências · 7

• 🔥 https://gist.github.com/Mr-xn/bc8261a5c3e35a72768723acf1da358d#information-leakage-and-unauthorized-access-to-sensitive-data · Exploit
• https://t.me/cvenotify/79665 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-25533 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1788295912043028968 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-25533 · Nota de Segurança
• https://t.me/cvenotify/79673 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1788277048391160138 · Publicação no Twitter