PT-2024-21052 · Elabftw · Elabftw

Anargam · Publicado 2024-10-01 · Atualizado 2025-08-15 · CVE-2024-25632

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do eLabFTW anteriores à 5.1.0

Descrição

A vulnerabilidade permite que um usuário comum se torne administrador de uma equipe da qual seja membro, em determinadas configurações. Nas versões posteriores à v5.0.0, ela também pode permitir que um usuário inicialmente não autenticado obtenha privilégios administrativos sobre uma equipe arbitrária. Isso não afeta o status de administrador do sistema.

Recomendações

Para versões anteriores à 5.1.0, os usuários devem atualizar para a versão 5.1.0.

Recomenda-se que os administradores do sistema desativem o registro de usuários locais, saml team create, e não permitam que administradores importem usuários para equipes, a menos que seja estritamente necessário.

Exploit

Correção

Incorrect Privilege Assignment

Enumeração de Fraquezas

CWE-842

CWE-266

Identificadores relacionados

CVE-2024-25632

GHSA-6M7P-GH9F-5MGG

Produtos afetados

Elabftw

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/25xxx/CVE-2024-25632.json · Exploit
• https://github.com/elabftw/elabftw/security/advisories/GHSA-6m7p-gh9f-5mgg · Aviso do Fabricante
• https://twitter.com/cracbot/status/1842082350039179520 · Publicação no Twitter
• https://t.me/cvedetector/6758 · Publicação no Telegram
• https://t.me/cveNotify/132452 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1841231744063660184 · Publicação no Twitter
• https://t.me/cvenotify/96711 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1841128742728442220 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-25632 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1841131234291745165 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/1245 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-25632 · Nota de Segurança