PT-2024-30562 · Megabot+1 · Megabot+1

Nicpwns · Publicado 2024-08-20 · Atualizado 2024-08-26 · CVE-2024-43404

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do MEGABOT anteriores à 1.5.0

Descrição

O comando /math no MEGABOT contém uma vulnerabilidade de execução remota de código devido à função eval() do Python. Isso permite que um invasor injete código Python no parâmetro expression ao usar /math em qualquer canal do Discord, afetando qualquer guilda do Discord que utilize o MEGABOT.

Recomendações

Para versões anteriores à 1.5.0, atualize para a versão 1.5.0 para resolver a vulnerabilidade.

Como solução temporária, considere desativar o comando /math até que a atualização seja aplicada.

Restrinja o acesso ao comando /math para minimizar o risco de exploração.

Exploit

Correção

Code Injection

Eval Injection

Enumeração de Fraquezas

CWE-94

CWE-95

Identificadores relacionados

CVE-2024-43404

GHSA-VHXP-4HWQ-W3P2

Produtos afetados

Discord

Megabot

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43404.json · Exploit
• https://github.com/NicPWNs/MEGABOT/security/advisories/GHSA-vhxp-4hwq-w3p2 · Aviso do Fabricante
• https://github.com/NicPWNs/MEGABOT/releases/tag/v1.5.0 · Nota
• https://github.com/NicPWNs/MEGABOT/commit/71e79e5581ea36313700385b112d863053fb7ed6 · Correção
• https://github.com/NicPWNs/MEGABOT/pull/138 · Correção
• https://github.com/NicPWNs/MEGABOT/issues/137 · Nota
• https://t.me/cvedetector/3650 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-43404 · Aviso do Fabricante
• https://twitter.com/oktsec/status/1825959602740978032 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1825914647515467784 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1827005763916582921 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-43404 · Nota de Segurança