PT-2024-33034 · Funadmin · Funadmin

Lvzchop · Publicado 2024-10-25 · Atualizado 2024-10-31 · CVE-2024-48224

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P

Nome do software vulnerável e versões afetadas

Funadmin versão 5.0.2

Descrição

O problema está relacionado a uma vulnerabilidade que permite a leitura arbitrária de arquivos. Ela afeta o endpoint /curd/index/editfile. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para a versão 5.0.2 do Funadmin, considere restringir o acesso ao endpoint /curd/index/editfile até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

SQL injection

Enumeração de Fraquezas

CWE-22

CWE-89

Identificadores relacionados

CVE-2024-48224

GHSA-6J8F-88MH-R9VQ

Produtos afetados

Funadmin

Referências · 7

• 🔥 https://github.com/funadmin/funadmin/issues/24 · Exploit
• https://github.com/funadmin/funadmin · Nota
• https://osv.dev/vulnerability/CVE-2024-48224 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-48224 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6j8f-88mh-r9vq · Aviso do Fabricante
• https://t.me/cvedetector/8991 · Publicação no Telegram
• https://t.me/cvenotify/99933 · Publicação no Telegram