PT-2024-26529 · Typecho · Typecho

Cyberaz0R + 1 · Publicado 2024-08-18 · Atualizado 2024-08-20 · CVE-2024-35538

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Typecho versão 1.3.0

Descrição

A vulnerabilidade permite que invasores falsifiquem seus endereços IP especificando um endereço IP arbitrário como valor dos cabeçalhos X-Forwarded-For ou Client-Ip ao realizar solicitações HTTP. Trata-se de uma vulnerabilidade de falsificação de IP do cliente.

Recomendações

Para o Typecho versão 1.3.0, como solução temporária, considere restringir o uso dos cabeçalhos X-Forwarded-For e Client-Ip até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Authentication Bypass by Spoofing

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-290

CWE-444

Identificadores relacionados

CVE-2024-35538

Produtos afetados

Typecho

Referências · 9

• 🔥 https://cyberaz0r.info/2024/08/typecho-multiple-vulnerabilities · Exploit
• https://twitter.com/CVEnew/status/1825631187831804306 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1825231599744540893 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-35538 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1825232356103405869 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1825233112546054626 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-35538 · Aviso do Fabricante
• https://t.me/cvedetector/3566 · Publicação no Telegram
• https://typecho.org · Nota