PT-2024-31989 · Ypay · Ypay

Potatowo233 · Publicado 2024-09-27 · Atualizado 2024-10-02 · CVE-2024-46441

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

YPay versão 1.2.0

Descrição

Uma vulnerabilidade de envio de arquivos arbitrários permite que invasores executem código arbitrário por meio de um arquivo ZIP na função themePutFile, localizada em app/common/util/Upload.php, que é chamada a partir de app/admin/controller/ypay/Home.php. A extensão de um arquivo descompactado não é verificada.

Recomendações

Para a versão 1.2.0 do YPay, como solução temporária, considere desativar a função themePutFile em app/common/util/Upload.php até que um patch esteja disponível. Restrinja o acesso ao módulo Upload.php para minimizar o risco de exploração. Evite usar a função themePutFile no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-46441

Produtos afetados

Ypay

Referências · 7

• https://github.com/kacins/YPay/issues/4 · Nota
• https://twitter.com/cracbot/status/1841357506020507832 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-46441 · Nota de Segurança
• https://t.me/cvenotify/96319 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-46441 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1839721259887645118 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1839651745330254266 · Publicação no Twitter