PT-2024-25853 · Libxmljs · Libxmljs

Uriya Yavnieli · Publicado 2024-05-02 · Atualizado 2025-10-10 · CVE-2024-34392

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

libxmljs (versões afetadas não especificadas)

Descrição

O problema está relacionado a uma vulnerabilidade de confusão de tipos que ocorre ao analisar um XML especialmente criado. Isso ocorre quando a função namespaces() é invocada em um neto de um nó que se refere a uma entidade, o que, por sua vez, invoca wrap xmlNode nsDef get(). A vulnerabilidade pode levar à negação de serviço e à execução remota de código.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

DoS

RCE

Type Confusion

Enumeração de Fraquezas

CWE-843

Identificadores relacionados

CVE-2024-34392

GHSA-MG49-JQGW-GCJ6

Produtos afetados

Libxmljs

Referências · 9

• 🔥 https://github.com/libxmljs/libxmljs/issues/646 · Exploit
• 🔥 https://research.jfrog.com/vulnerabilities/libxmljs-namespaces-type-confusion-rce-jfsa-2024-001034096 · Exploit
• https://github.com/libxmljs/libxmljs · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-34392 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mg49-jqgw-gcj6 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1786114318649679953 · Publicação no Twitter
• https://t.me/cveNotify/138203 · Publicação no Telegram
• https://t.me/cvenotify/78914 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-34392 · Aviso do Fabricante