PT-2024-25264 · Onethink · Onethink

Liotree · Publicado 2024-04-29 · Atualizado 2024-07-03 · CVE-2024-33444

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

onethink versão 1.1

Descrição

Uma vulnerabilidade de injeção de SQL permite que um invasor remoto obtenha privilégios elevados por meio de um script malicioso direcionado ao componente ModelModel.class.php.

Recomendações

Para o onethink versão 1.1, considere restringir o acesso ao componente ModelModel.class.php até que uma correção esteja disponível. Como solução temporária, evite usar entradas fornecidas pelo usuário em consultas SQL para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-33444

Produtos afetados

Onethink

Referências · 7

• 🔥 https://github.com/liu21st/onethink/issues/39 · Exploit
• 🔥 https://gist.github.com/LioTree/1971a489dd5ff619b89e7a9e1da91152 · Exploit
• https://github.com/liu21st/onethink · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-33444 · Nota de Segurança
• https://twitter.com/CVEnew/status/1784994490274418966 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-33444 · Aviso do Fabricante
• https://t.me/cvenotify/78427 · Publicação no Telegram