PT-2024-28744 · Supos · Supos

CVE-2024-39937 · Publicado 2024-07-04 · Atualizado 2025-11-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AC:L/AV:N/A:N/C:H/I:N/PR:N/S:C/UI:N

Nome do software vulnerável e versões afetadas

supOS versão 5.0

Descrição

A vulnerabilidade permite a traversal de diretórios para a leitura de arquivos através do endpoint “api/image/download”, especificamente quando o parâmetro fileName contém ../. Isso possibilita o acesso não autorizado a arquivos no sistema.

Recomendações

Para o supOS versão 5.0, como solução temporária, considere restringir o acesso ao endpoint “api/image/download” até que uma correção esteja disponível. Além disso, evite usar o parâmetro fileName com ../ no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-39937

Produtos afetados

Supos

Referências · 13

• https://twitter.com/VulmonFeeds/status/1809026629282185509 · Publicação no Twitter
• https://t.me/cvedetector/73 · Publicação no Telegram
• https://cloud.supos.com/announcement/detail?id=1985637965817671680 · Nota
• https://twitter.com/CveFindCom/status/1808977122058285150 · Publicação no Twitter
• https://t.me/cvenotify/85187 · Publicação no Telegram
• https://t.me/cveNotify/142297 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-39937 · Nota de Segurança
• ❌ https://github.com/bytehunter-rat/supOS-BUG/blob/main/supOSDirectoryTraversal.md · Nota, Deleted
• https://twitter.com/cracbot/status/1810554540749722002 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1808978812333437031 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-39937 · Aviso do Fabricante
• https://supos.com/supOSindex · Nota
• https://twitter.com/cracbot/status/1810192187118035271 · Publicação no Twitter