PT-2024-28761 · Idccms · Idccms

Pangchunyuhack · Publicado 2024-07-09 · Atualizado 2024-08-01 · CVE-2024-40034

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

idccms versão 1.35

Descrição

Foi detectada uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF) no idccms. A vulnerabilidade está relacionada ao endpoint da API “/admin/userLevel deal.php”, especificamente ao parâmetro mudi quando definido como “del”. Isso permite que ações não autorizadas sejam realizadas.

Recomendações

Para o idccms versão 1.35, como solução temporária, considere desativar o acesso ao endpoint “/admin/userLevel deal.php” ou restringir o uso do parâmetro mudi até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-40034

Produtos afetados

Idccms

Referências · 8

• 🔥 https://github.com/pangchunyuhack/cms/blob/main/59/csrf.md · Exploit
• https://osv.dev/vulnerability/CVE-2024-40034 · Aviso do Fabricante
• https://t.me/cvenotify/85605 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-40034 · Nota de Segurança
• https://t.me/cvenotify/85804 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1811428072362516486 · Publicação no Twitter
• https://t.me/cvedetector/431 · Publicação no Telegram
• https://t.me/cvenotify/87082 · Publicação no Telegram