PT-2024-30424 · Unknown · Hamed Naderfar Compute Links

Yc_Infosec · Publicado 2024-08-19 · Atualizado 2024-08-23 · CVE-2024-43261

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Hamed Naderfar Compute Links, versões 1.2.1 e anteriores

Descrição

O problema está relacionado ao controle inadequado dos nomes de arquivos nas instruções Include/Require em programas PHP, permitindo a inclusão remota de arquivos PHP. Isso possibilita a inclusão de arquivos PHP remotos.

Recomendações

Para as versões 1.2.1 e anteriores, considere desativar a funcionalidade das instruções Include/Require até que um patch esteja disponível. Restrinja o acesso a arquivos PHP vulneráveis para minimizar o risco de exploração. Evite usar nomes de arquivos vulneráveis nas instruções Include/Require até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Enumeração de Fraquezas

CWE-98

Identificadores relacionados

CVE-2024-43261

Produtos afetados

Hamed Naderfar Compute Links

Referências · 8

• https://twitter.com/cracbot/status/1827224421280706895 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1825591358284771555 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1825639656685187476 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-43261 · Nota de Segurança
• https://twitter.com/CveFindCom/status/1827006564001079677 · Publicação no Twitter
• https://patchstack.com/database/vulnerability/compute-links/wordpress-compute-links-plugin-1-2-1-remote-file-inclusion-vulnerability?_s_id=cve · Nota
• https://twitter.com/cracbot/status/1826862079724454298 · Publicação no Twitter
• https://t.me/cvedetector/3547 · Publicação no Telegram