PT-2024-30917 · Xiaomi · Xiaomi Pro 13

Biennd279 + 3 · Publicado 2024-05-01 · Atualizado 2025-08-13 · CVE-2024-4405

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Xiaomi Pro 13 (versões afetadas não especificadas)

Descrição

Esta vulnerabilidade permite que invasores remotos executem código arbitrário em instalações afetadas dos smartphones Xiaomi Pro 13. É necessária a interação do usuário para explorar esta vulnerabilidade, sendo que o alvo deve acessar uma página maliciosa ou abrir um arquivo malicioso. A falha específica existe no arquivo manual-upgrade.html, onde o processo não sanitiza adequadamente os dados fornecidos pelo usuário para o parâmetro manualUpgradeInfo, levando à injeção de um script arbitrário. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do usuário atual.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Correção

RCE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-4405

ZDI-24-418

Produtos afetados

Xiaomi Pro 13

Referências · 9

• https://zerodayinitiative.com/advisories/ZDI-24-418 · Nota de Segurança
• https://t.me/cvenotify/78907 · Publicação no Telegram
• https://t.me/cvenotify/78857 · Publicação no Telegram
• https://t.me/cveNotify/131968 · Publicação no Telegram
• https://twitter.com/TheZDIBugs/status/1786076488258744370 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1785849117442281555 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1786052248277061880 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-4405 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-4405 · Nota de Segurança