PT-2024-25786 · Cmseasy · Cmseasy

H3Rmesk1T · Publicado 2024-05-07 · Atualizado 2024-05-07 · CVE-2024-34314

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

CmsEasy versão 7.7.7.9

Descrição

Foi detectada uma vulnerabilidade de inclusão de arquivo local, permitindo que invasores leiam arquivos arbitrários por meio da função file get contents no método fetch action do arquivo “/admin/template admin.php”.

Recomendações

Para o CmsEasy versão 7.7.7.9, considere desativar o método fetch action em “/admin/template admin.php” até que um patch esteja disponível para impedir a exploração dessa vulnerabilidade. Restrinja o acesso ao arquivo “/admin/template admin.php” para minimizar o risco de leitura arbitrária de arquivos.

Correção

Enumeração de Fraquezas

CWE-98

Identificadores relacionados

CVE-2024-34314

Produtos afetados

Cmseasy

Referências · 5

• https://github.com/H3rmesk1t/vulnerability-paper/blob/main/CmsEasy-7.7.7.9-File%20Inclusion.md · Nota
• https://t.me/cvenotify/79455 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-34314 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-34314 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1787926432049738029 · Publicação no Twitter