PT-2024-27172 · Ebookmeta · Ebookmeta

Peri0D · Publicado 2024-06-07 · Atualizado 2024-09-13 · CVE-2024-36827

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do ebookmeta anteriores à 1.2.8

Descrição

Uma vulnerabilidade de Entidade Externa XML (XXE) na função ebookmeta.get metadata permite que invasores acessem informações confidenciais ou provoquem uma negação de serviço (DoS) por meio de entradas XML maliciosas.

Recomendações

Para versões anteriores à 1.2.8, atualize para a versão 1.2.8 ou posterior para resolver o problema.

Como solução temporária, considere desativar a função ebookmeta.get metadata até que um patch esteja disponível.

Correção

XML Entity Expansion

XXE

Enumeração de Fraquezas

CWE-776

CWE-611

Identificadores relacionados

CVE-2024-36827

GHSA-WHF4-FPJ8-PGG8

PYSEC-2024-76

Produtos afetados

Ebookmeta

Referências · 10

• https://github.com/pypa/advisory-database/tree/main/vulns/ebookmeta/PYSEC-2024-76.yaml · Nota
• https://github.com/dnkorpushov/ebookmeta/issues/16#issue-2317712335 · Nota
• https://github.com/dnkorpushov/ebookmeta · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-36827 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-36827 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-76 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1799149347092721802 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1799181815166484601 · Publicação no Twitter
• https://t.me/cvenotify/94570 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-whf4-fpj8-pgg8 · Aviso do Fabricante