PT-2024-32807 · Idurar · Idurar

Dominator98 + 1 · Publicado 2024-10-04 · Atualizado 2024-11-13 · CVE-2024-47769

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

IDURAR (versões afetadas não especificadas)

Descrição

A vulnerabilidade está presente no arquivo corePublicRouter.js do IDURAR, um software de código aberto de ERP, CRM, contabilidade e faturamento. Um endpoint público está acessível a usuários não autenticados, e as entradas do usuário são anexadas diretamente à instrução JOIN sem verificações, permitindo que invasores enviem cargas maliciosas codificadas em URL. Isso possibilita a fuga da estrutura de diretórios para ler arquivos do sistema, adicionando uma string codificada em um local de subcaminho.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Relative Path Traversal

Enumeração de Fraquezas

CWE-22

CWE-23

Identificadores relacionados

CVE-2024-47769

GHSA-948G-2VM7-MFV7

Produtos afetados

Idurar

Referências · 12

• 🔥 https://github.com/idurar/idurar-erp-crm/security/advisories/GHSA-948g-2vm7-mfv7 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/47xxx/CVE-2024-47769.json · Exploit
• https://github.com/idurar/idurar-erp-crm/commit/949bc6fe31f3175c9e1864d30cf6c8110179ac14 · Correção
• https://t.me/cvenotify/101535 · Publicação no Telegram
• https://twitter.com/cracbot/status/1843531870778376204 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-47769 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1842245293087100990 · Publicação no Twitter
• https://t.me/cvedetector/6992 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-47769 · Nota de Segurança
• https://twitter.com/CVEnew/status/1842215950583513377 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/1253 · Publicação no Telegram
• https://twitter.com/cracbot/status/1843894218668061073 · Publicação no Twitter