PT-2024-28374 · Asial · Jpgraph Professional

Alexandre Droullã© · Publicado 2024-07-04 · Atualizado 2025-09-02 · CVE-2024-39165

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AC:L/AV:N/A:H/C:H/I:H/PR:N/S:U/UI:N

Nome do software vulnerável e versões afetadas

Asial JpGraph Professional versões 4.2.6-pro e anteriores

Descrição

A vulnerabilidade permite que invasores remotos executem código arbitrário por meio de uma carga de PHP no parâmetro data, em conjunto com um nome de arquivo .php no parâmetro filename. Isso ocorre porque uma pasta QR/demoapp desnecessária é fornecida com o produto.

Recomendações

Para as versões 4.2.6-pro e anteriores do Asial JpGraph Professional, considere remover ou restringir o acesso à pasta QR/demoapp como uma solução temporária até que um patch esteja disponível. Evite usar o parâmetro data em conjunto com um nome de arquivo .php no parâmetro filename no endpoint da API afetado até que o problema seja resolvido.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-39165

Produtos afetados

Jpgraph Professional

Referências · 8

• https://twitter.com/CVEnew/status/1808852621316477414 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-39165 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1808886873902784512 · Publicação no Twitter
• https://synacktiv.com/advisories/jpgraph-professional-version-pre-authenticated-remote-code-execution · Nota
• https://t.me/cvenotify/85178 · Publicação no Telegram
• https://t.me/cvedetector/55 · Publicação no Telegram
• https://synacktiv.com/en/advisories/jpgraph-professional-version-pre-authenticated-remote-code-execution · Nota
• https://t.me/cveNotify/134084 · Publicação no Telegram