PT-2024-21948 · Unknown+1 · Pictureproxy.Php+1
Zer0Yu
·
Publicado
2024-03-05
·
Atualizado
2026-02-13
·
CVE-2024-27564
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do ChatGPT (versões afetadas não especificadas)
Descrição
Existe uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) no arquivo
pictureproxy.php do ChatGPT, especificamente no commit f9f4bbc. Essa falha permite que invasores forcem o aplicativo a fazer solicitações arbitrárias, injetando URLs maliciosas no parâmetro url. A vulnerabilidade está sendo ativamente explorada, com mais de 10.000 tentativas de ataque registradas em uma única semana, visando principalmente organizações financeiras e governamentais nos Estados Unidos, bem como entidades na Alemanha, Tailândia, Indonésia, Colômbia e Reino Unido. A vulnerabilidade não requer autenticação e uma exploração de prova de conceito está disponível publicamente. Aproximadamente 35% das organizações estão potencialmente vulneráveis devido a firewalls, IPS e WAFs mal configurados. O problema foi identificado inicialmente em setembro de 2023. A exploração pode levar ao acesso não autorizado a recursos internos e ao potencial roubo de dados. O ponto de extremidade da API envolvido está relacionado à proxy de imagens por meio de pictureproxy.php, e o parâmetro vulnerável é url.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
SSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Chatgpt
Pictureproxy.Php