PT-2024-31985 · Wandb · Wandb

Publicado 2024-05-16 · Atualizado 2024-05-16 · CVE-2024-4642

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

wandb (versões afetadas não especificadas)

Descrição

Existe uma vulnerabilidade do tipo Server-Side Request Forgery (SSRF) devido ao tratamento inadequado de redirecionamentos HTTP 302. Isso permite que membros da equipe com acesso à função “Configurações do usuário -> Webhooks” explorem a vulnerabilidade e acessem servidores HTTP(s) internos. Em casos graves, como em instâncias da AWS, isso poderia ser potencialmente abusado para obter a execução remota de código na máquina da vítima.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-4642

GHSA-CQH9-JFQR-H9JJ

Produtos afetados

Wandb

Referências · 5

• https://github.com/wandb/wandb · Nota
• https://github.com/wandb/wandb/blob/main/wandb/sdk/lib/import_hooks.py#L1 · Nota
• https://osv.dev/vulnerability/GHSA-cqh9-jfqr-h9jj · Aviso do Fabricante
• https://huntr.com/bounties/055eb540-57f8-46d6-b858-3a9e22d347d9 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-4642 · Nota de Segurança