PT-2024-30667 · Send+1 · Send+1

Adamkorcz · Publicado 2024-09-10 · Atualizado 2025-06-23 · CVE-2024-43799

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Send anteriores à 0.19.0

Descrição

O problema decorre da passagem de entradas de usuário não confiáveis para SendStream.redirect(), o que pode levar à execução de código não confiável. Isso ocorre mesmo quando a entrada é sanitizada. A biblioteca Send é usada para transmitir arquivos do sistema de arquivos como uma resposta HTTP.

Recomendações

Para versões anteriores à 0.19.0, atualize para a versão 0.19.0 para corrigir o problema.

Como solução alternativa temporária, certifique-se de que quaisquer entradas não confiáveis sejam seguras, validando-as em relação a uma lista de permissões explícita.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

AZL-49088

AZL-49123

AZL-49164

CVE-2024-43799

DLA-4224-1

GHSA-M6FV-JMCG-4JFG

Produtos afetados

Debian

Send

Referências · 22

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43799.json · Exploit
• https://github.com/pillarjs/send/security/advisories/GHSA-m6fv-jmcg-4jfg · Aviso do Fabricante
• https://github.com/pillarjs/send/commit/ae4f2989491b392ae2ef3b0015a019770ae65d35 · Correção
• https://github.com/pillarjs/send · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-43799 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2024-43799 · Nota de Segurança
• https://t.me/cvenotify/95469 · Publicação no Telegram
• https://osv.dev/vulnerability/AZL-49164 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-43799 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2025/06/msg00022.html · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-43799 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-4224-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-49123 · Aviso do Fabricante
• https://t.me/cvedetector/5242 · Publicação no Telegram
• https://twitter.com/kom_256/status/1833509942885765553 · Publicação no Twitter