PT-2024-28873 · Unknown · Kashipara Live Membership System

CVE-2024-40488 · Publicado 2024-08-08 · Atualizado 2025-04-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Kashipara Live Membership System versão 1.0

Descrição

Foi detectada uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no Kashipara Live Membership System. Isso poderia permitir que um invasor induzisse o administrador a excluir dados válidos de membros por meio de uma página HTML maliciosa, conforme demonstrado pela ação “Delete Member” no endpoint da API “/delete members.php”. A ação “Delete Member” pode ser explorada para manipular o administrador a realizar ações indesejadas.

Recomendações

Para o Sistema de Associação Kashipara Live versão 1.0, considere implementar mecanismos adequados de proteção contra CSRF, como validação baseada em token, para impedir solicitações não autorizadas. Como solução temporária, restrinja o acesso ao endpoint da API “/delete members.php” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-40488

Produtos afetados

Kashipara Live Membership System

Referências · 8

• 🔥 https://github.com/takekaramey/CVE_Writeup/blob/main/Kashipara/Live%20Membership%20System%20v1.0/CSRF.pdf · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-40488 · Nota de Segurança
• https://twitter.com/cracbot/status/1823962915093012884 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-40488 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1823600520726212834 · Publicação no Twitter
• https://t.me/cvenotify/120033 · Publicação no Telegram
• https://twitter.com/cracbot/status/1824325311909204228 · Publicação no Twitter
• https://capec.mitre.org/data/definitions/62.html · Nota