PT-2024-21085 · Git+1 · Min

Rootup · Publicado 2024-02-09 · Atualizado 2024-02-15 · CVE-2024-25677

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões anteriores à 1.31.0

Descrição

O problema decorre do fato de os arquivos locais não serem tratados corretamente como origens de segurança únicas, permitindo que solicitem indevidamente recursos de origem cruzada. Por exemplo, um arquivo local pode solicitar outros arquivos locais por meio de um documento XML.

Recomendações

Para versões anteriores à 1.31.0, atualize para a versão 1.31.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a arquivos locais para minimizar o risco de exploração.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2024-25677

GHSA-4W9V-7H8H-RV8X

Produtos afetados

Min

Referências · 6

• https://github.com/minbrowser/min/security/advisories/GHSA-4w9v-7h8h-rv8x · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-25677 · Nota de Segurança
• https://twitter.com/CVEnew/status/1755883134661312789 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1755925778192048501 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-25677 · Aviso do Fabricante
• https://t.me/cvenotify/71645 · Publicação no Telegram