PT-2024-21049 · Unknown · Pandaxgo Pandax

Linyz-Tel · Publicado 2024-03-17 · Atualizado 2024-05-17 · CVE-2024-2563

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

PandaXGO PandaX até 20240310

Descrição

Foi identificada uma falha crítica que afeta a função DeleteImage no arquivo /apps/system/router/upload.go. A vulnerabilidade pode ser explorada manipulando-se o argumento fileName com uma entrada específica, como ../../../../../../../tmp/1.txt, levando a um traversal de caminho. O ataque pode ser iniciado remotamente.

Recomendações

Para o PandaXGO PandaX até a versão 20240310, considere desativar a função DeleteImage como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao arquivo /apps/system/router/upload.go para minimizar o risco de exploração. Evite usar o argumento fileName na função afetada até que o problema seja resolvido.

Exploit

Correção

Enumeração de Fraquezas

CWE-24

Identificadores relacionados

CVE-2024-2563

Produtos afetados

Pandaxgo Pandax

Referências · 7

• 🔥 https://github.com/PandaXGO/PandaX/pull/3 · Exploit
• https://twitter.com/VulmonFeeds/status/1769373321726984257 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-2563 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-2563 · Nota de Segurança
• https://vuldb.com/?id.257062 · Nota
• https://twitter.com/CVEnew/status/1769339284564135950 · Publicação no Twitter
• https://vuldb.com/?ctiid.257062 · Nota