PT-2024-26392 · Wagtail · Wagtail

Engineervix · Publicado 2024-05-30 · Atualizado 2024-06-02 · CVE-2024-35228

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Wagtail anteriores à 6.0.5 e anteriores à 6.1.2

Descrição

Devido a uma verificação de permissão aplicada incorretamente no módulo wagtail.contrib.settings, um usuário com acesso ao painel de administração do Wagtail e conhecimento da URL da visualização de edição de um modelo de configurações pode acessar e atualizar essa configuração, mesmo que não tenha permissão sobre o modelo. A vulnerabilidade não pode ser explorada por um visitante comum do site sem acesso ao painel de administração do Wagtail.

Recomendações

Para versões do Wagtail anteriores à 6.0.5, atualize para a versão 6.0.5 ou posterior.

Para versões do Wagtail anteriores à 6.1.2, atualize para a versão 6.1.2 ou posterior.

Como solução alternativa temporária para ModelViewSet, considere registrar o modelo como um snippet.

Observe que não há solução alternativa disponível para wagtail.contrib.settings.

Exploit

Correção

Enumeração de Fraquezas

CWE-280

Identificadores relacionados

CVE-2024-35228

GHSA-XXFM-VMCF-G33F

Produtos afetados

Wagtail

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/35xxx/CVE-2024-35228.json · Exploit
• https://github.com/wagtail/wagtail · Nota
• https://github.com/wagtail/wagtail/security/advisories/GHSA-xxfm-vmcf-g33f · Nota
• https://github.com/wagtail/wagtail/commit/284f75a6f91f7ab18cc304d7d34f33b559ae37b1 · Nota
• https://osv.dev/vulnerability/GHSA-xxfm-vmcf-g33f · Aviso do Fabricante
• https://t.me/cvenotify/81592 · Publicação no Telegram
• https://t.me/cvenotify/81552 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-35228 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-35228 · Nota de Segurança