PT-2024-28451 · Skilltree · Skilltree

Joebeeton · Publicado 2024-07-02 · Atualizado 2024-07-03 · CVE-2024-39326

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do SkillTree anteriores à 2.12.6

Descrição

O problema diz respeito a uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no endpoint /admin/projects/{projectname}/skills/{skillname}/video, que está sujeito a exploração devido à falta de medidas de mitigação de CSRF, como um sinalizador de mesmo site ou um token de CSRF. Isso permite que um invasor execute um ataque CSRF contra uma conta de administrador conectada, possibilitando a modificação de vídeos, legendas e textos de habilidades.

Recomendações

Para versões anteriores à 2.12.6, atualize para a versão 2.12.6 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint /admin/projects/{projectname}/skills/{skillname}/video até que a atualização seja aplicada.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-39326

GHSA-9624-QWXR-JR4J

Produtos afetados

Skilltree

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39326.json · Exploit
• https://github.com/NationalSecurityAgency/skills-service/blob/24dd22f43306fc616e4580fb8bb88f66b5d9b41d/service/src/main/java/skills/controller/AdminController.groovy#L574 · Nota
• https://github.com/NationalSecurityAgency/skills-service/security/advisories/GHSA-9624-qwxr-jr4j · Nota
• https://github.com/NationalSecurityAgency/skills-service/commit/68d4235ddcb16e4f33fc7f19d14ff917817a366c · Nota
• https://osv.dev/vulnerability/CVE-2024-39326 · Aviso do Fabricante
• https://t.me/cvenotify/85067 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-39326 · Nota de Segurança