PT-2024-31602 · Contao · Contao

Usdresponsibledisclosure · Publicado 2024-09-17 · Atualizado 2024-09-25 · CVE-2024-45398

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

Versões do Contao anteriores à 4.13.49

Versões do Contao anteriores à 5.3.15

Versões do Contao anteriores à 5.4.3

Descrição:

O Contao é um CMS de código aberto. Nas versões afetadas, um usuário de back-end com acesso ao gerenciador de arquivos pode fazer upload de arquivos maliciosos e executá-los no servidor. Recomenda-se que os usuários atualizem o software para mitigar o risco de ataques remotos.

Recomendações:

Atualize para o Contao 4.13.49 para resolver o problema.

Atualize para o Contao 5.3.15 para resolver o problema.

Atualize para o Contao 5.4.3 para resolver o problema.

Como solução alternativa temporária, considere configurar seu servidor web para que ele não execute arquivos PHP e outros scripts no diretório de upload de arquivos do Contao.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-45398

GHSA-VM6R-J788-HJH5

Produtos afetados

Contao

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45398.json · Exploit
• https://github.com/contao/contao · Nota
• https://github.com/contao/contao/commit/9445d509f12a7f1b68a4794dcc5e3e459b363ebb · Nota
• https://github.com/contao/contao/commit/a7e39f96ac8fdc281f7caaa96e01deb0e24ac7d3 · Nota
• https://github.com/contao/contao/commit/f3db59ffe5a6c0e1f705b3230ebd5ff16865280e · Nota
• https://github.com/contao/contao/security/advisories/GHSA-vm6r-j788-hjh5 · Nota
• https://twitter.com/cracbot/status/1837733678027624888 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-45398 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-vm6r-j788-hjh5 · Aviso do Fabricante
• https://t.me/cvenotify/94996 · Publicação no Telegram
• https://contao.org/en/security-advisories/remote-command-execution-through-file-uploads · Aviso do Fabricante
• https://twitter.com/oktsec/status/1836172683488215490 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1836137282480533794 · Publicação no Twitter
• https://t.me/cvedetector/5851 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-45398 · Aviso do Fabricante