PT-2024-31552 · Alf.Io · Alf.Io

Cbellone · Publicado 2024-09-06 · Atualizado 2024-09-30 · CVE-2024-45299

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do alf.io anteriores à 2.0-M5

Descrição

O problema diz respeito a um sistema de reserva de ingressos de código aberto para eventos. Antes da versão 2.0-M5, os dados pré-carregados em formato JSON não são escapados corretamente. Isso permite que um administrador ou administrador de eventos possa danificar sua própria instalação ao inserir texto que não tenha sido escapado corretamente. No entanto, a diretiva Content-Security-Policy bloqueia qualquer execução potencial de script. Os textos destinados à personalização não são escapados adequadamente.

Recomendações

Para versões anteriores à 2.0-M5, atualize para a versão 2.0-M5 para resolver o problema. Como solução temporária, considere evitar o uso de texto não escapado na personalização para minimizar o risco de danos à instalação.

Exploit

Correção

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

Identificadores relacionados

CVE-2024-45299

GHSA-MCX6-25F8-8RQW

Produtos afetados

Alf.Io

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45299.json · Exploit
• 🔥 https://github.com/alfio-event/alf.io/security/advisories/GHSA-mcx6-25f8-8rqw · Exploit
• https://github.com/alfio-event/alf.io/commit/e7131c588f4ac31067a41d0e31e6a6a721b2ff4b · Correção
• https://osv.dev/vulnerability/CVE-2024-45299 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-45299 · Nota de Segurança
• https://twitter.com/CVEnew/status/1832046403092357323 · Publicação no Twitter
• https://t.me/cvenotify/96543 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1832068162990268923 · Publicação no Twitter
• https://t.me/cvedetector/4962 · Publicação no Telegram