PT-2024-21047 · Alf.Io · Alf.Io

Pinkdraconian · Publicado 2024-02-16 · Atualizado 2024-12-18 · CVE-2024-25627

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Alf.io anteriores à 2.0-M4-2402

Descrição

A vulnerabilidade permite que um administrador do aplicativo Alf.io faça upload de arquivos HTML que acionam cargas de JavaScript. Isso poderia permitir que um invasor que obtivesse acesso administrativo mantivesse esse acesso por meio da inserção de uma carga XSS. Não há soluções alternativas conhecidas para este problema.

Recomendações

Para versões anteriores à 2.0-M4-2402, atualize para a versão 2.0-M4-2402 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao recurso de upload de arquivos HTML até que um patch seja aplicado.

Exploit

Correção

XSS

Unrestricted File Upload

Enumeração de Fraquezas

CWE-79

CWE-434

Identificadores relacionados

CVE-2024-25627

GHSA-GPMG-8F92-37CF

Produtos afetados

Alf.Io

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/25xxx/CVE-2024-25627.json · Exploit
• 🔥 https://github.com/alfio-event/alf.io/security/advisories/GHSA-gpmg-8f92-37cf · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-25627 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1758636717152858328 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1758591573338763491 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-25627 · Aviso do Fabricante