PT-2024-22137 · Nuclei · Nuclei
Gpc1996
·
Publicado
2024-03-15
·
Atualizado
2025-12-05
·
CVE-2024-27920
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Nuclei anteriores à 3.2.0
Descrição
Foi identificada uma falha de segurança significativa no Nuclei, envolvendo a execução de modelos de código não assinados por meio de fluxos de trabalho. Esse problema afeta especificamente usuários que utilizam fluxos de trabalho personalizados, podendo permitir a execução de código malicioso no sistema do usuário. A vulnerabilidade decorre de uma falha no mecanismo de execução do fluxo de trabalho, onde modelos de código não assinados poderiam ser executados, contornando as medidas de segurança destinadas a autenticar a integridade e a origem dos modelos.
Recomendações
Para versões anteriores à 3.2.0, a principal recomendação é atualizar para o Nuclei v3.2.0, onde a vulnerabilidade foi corrigida.
Como medida provisória, os usuários devem evitar o uso de fluxos de trabalho personalizados caso não possam atualizar imediatamente. Apenas fluxos de trabalho confiáveis e verificados devem ser executados.
Evite usar fluxos de trabalho personalizados de fontes não confiáveis, incluindo fluxos de trabalho criados por terceiros ou obtidos de repositórios não verificados.
Os desenvolvedores que integram o Nuclei em suas plataformas devem garantir que não permitam a execução de fluxos de trabalho personalizados por usuários finais provenientes de fontes não confiáveis.
Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nuclei