PT-2024-28056 · Unknown+1 · Open Eclass+1
John-Weasel-4345
·
Publicado
2024-08-12
·
Atualizado
2024-08-17
·
CVE-2024-38530
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Open eClass anteriores à 3.16
Descrição
A plataforma Open eClass, um sistema completo de gerenciamento de cursos, contém uma vulnerabilidade de upload arbitrário de arquivos na funcionalidade “salvar” do módulo H5P. Essa vulnerabilidade permite que usuários não autenticados enviem arquivos arbitrários para o sistema de arquivos do servidor, o que pode levar à execução remota de código (RCE) sem restrições no servidor backend, uma vez que o local de upload é acessível pela internet.
Recomendações
Para versões anteriores à 3.16, atualize para a versão 3.16 para corrigir a vulnerabilidade de upload de arquivos arbitrários no módulo H5P. Como solução temporária, considere restringir o acesso à funcionalidade “salvar” do módulo H5P para impedir uploads de arquivos não autenticados até que a atualização seja aplicada.
Exploit
Correção
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
H5P
Open Eclass