PT-2024-22435 · Twenty · Twenty

Bruno Menna · Publicado 2024-03-25 · Atualizado 2024-08-26 · CVE-2024-28435

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Twenty versão 0.3.0

Descrição

A plataforma CRM está vulnerável a falsificação de solicitação do lado do servidor (SSRF) por meio do upload de arquivos. Essa vulnerabilidade permite que um invasor possa acessar recursos internos ou realizar solicitações não autorizadas.

Recomendações

Para a versão 0.3.0, considere desativar o recurso de upload de arquivos até que uma correção esteja disponível para impedir a exploração da vulnerabilidade SSRF. Restrinja o acesso a recursos internos confidenciais para minimizar o risco de acesso não autorizado.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-28435

Produtos afetados

Twenty

Referências · 8

• 🔥 https://github.com/b-hermes/vulnerability-research/tree/main/CVE-2024-28435 · Exploit
• https://github.com/twentyhq/twenty · Nota
• https://twitter.com/RedPacketSec/status/1772928430583009416 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1772265770581393807 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1772303841381224731 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-28435 · Nota de Segurança
• https://t.me/cvenotify/92174 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-28435 · Aviso do Fabricante