PT-2024-29982 · Unknown · Filament Excel

Kevin Pohl · Publicado 2024-08-12 · Atualizado 2024-09-18 · CVE-2024-42485

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Filament Excel anteriores à v2.3.3

Descrição

A rota de download de exportação “/filament-excel/{path}” permitia o download de qualquer arquivo sem login quando o servidor web permitia o uso de ../ na URL. Este problema foi relatado por Kevin Pohl.

Recomendações

Para versões anteriores à v2.3.3, atualize para a versão v2.3.3 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/filament-excel/{path}” até que a atualização seja aplicada.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-42485

GHSA-M3PX-VJXR-FX4M

Produtos afetados

Filament Excel

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/42xxx/CVE-2024-42485.json · Exploit
• https://github.com/pxlrbt/filament-excel/commit/af36f933b032aefccc87d17431b6e74673b04af5 · Nota
• https://github.com/pxlrbt/filament-excel · Nota
• https://github.com/pxlrbt/filament-excel/releases/tag/v1.1.14 · Nota
• https://github.com/pxlrbt/filament-excel/commit/bda42891a4b0c15d5dab5da8c53a006ddadccfb7 · Correção
• https://github.com/pxlrbt/filament-excel/security/advisories/GHSA-m3px-vjxr-fx4m · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-42485 · Nota de Segurança
• https://t.me/cvenotify/95136 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m3px-vjxr-fx4m · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1823024480219722183 · Publicação no Twitter
• https://twitter.com/PorsilapongoCl/status/1823026744925815186 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-42485 · Aviso do Fabricante
• https://t.me/cvedetector/2861 · Publicação no Telegram
• https://t.me/cvenotify/94809 · Publicação no Telegram