PT-2024-22844 · Vvvebjs · Vvvebjs

Hebing123 · CVE-2024-29272 · Publicado 2024-03-21 · Atualizado 2024-08-01

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do VvvebJs anteriores à 1.7.5

Descrição

A vulnerabilidade permite que invasores remotos não autenticados executem código arbitrário e obtenham informações confidenciais por meio do parâmetro sanitizeFileName no arquivo “save.php”. Isso possibilita ataques remotos, representando um risco significativo.

Recomendações

Para versões anteriores à 1.7.5, atualize o VvvebJs para a versão 1.7.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo “save.php” ou desativar o parâmetro sanitizeFileName até que um patch seja aplicado.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-29272

GHSA-PMM3-68Q9-57JG

Produtos afetados

Vvvebjs

Referências · 11

• 🔥 https://github.com/givanz/VvvebJs/issues/343 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/29xxx/CVE-2024-29272.json · Exploit
• https://github.com/givanz/VvvebJs/commit/c6422cfd4d835c2fa6d512645e30015f24538ef0 · Correção
• https://github.com/givanz/VvvebJs · Nota
• https://osv.dev/vulnerability/GHSA-pmm3-68q9-57jg · Aviso do Fabricante
• https://t.me/cvenotify/74410 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1771046771264835692 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1771033453137453154 · Publicação no Twitter
• https://twitter.com/oktsec/status/1772307966332375383 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-29272 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-29272 · Aviso do Fabricante