PT-2024-22894 · Alldata · Alldata

Raybye · Publicado 2024-04-02 · Atualizado 2024-04-03 · CVE-2024-29434

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Alldata versão 0.4.6

Descrição

A falha na interface de envio de imagens do sistema permite que invasores executem um ataque de traversal de diretório ao enviar um arquivo. Isso lhes permite acessar ou modificar arquivos fora do diretório pretendido, o que pode levar ao acesso não autorizado a dados ou ao comprometimento do sistema.

Recomendações

Para a versão 0.4.6 do Alldata, considere restringir o acesso à interface de upload de imagens do sistema até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o recurso de upload de arquivos para minimizar o risco de exploração.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-29434

Produtos afetados

Alldata

Referências · 6

• https://t.me/cvenotify/75562 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1775273328992997627 · Publicação no Twitter
• ❌ https://github.com/Raybye/alldata-bug/blob/main/alldata.md · Nota, Deleted
• https://gist.github.com/Raybye/6cf4aa273e12a220056e38bec764d42d · Nota
• https://osv.dev/vulnerability/CVE-2024-29434 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-29434 · Nota de Segurança