PT-2024-33122 · Electron+1 · Electron+1

Rodolfo Tavares · Publicado 2024-11-04 · Atualizado 2025-01-16 · CVE-2024-48463

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Bruno anteriores à 1.29.1

Descrição

O problema decorre do uso, pelo Bruno, da função shell.openExternal do Electron sem a devida validação de URLs, especificamente http ou https, ao abrir janelas dentro do visualizador de documentos Markdown. Essa falta de validação pode levar ao tratamento de URLs não validados.

Recomendações

Para versões anteriores à 1.29.1, atualize para a versão 1.29.1 ou posterior para resolver o problema. Como solução temporária, considere desativar o uso da função shell.openExternal do Electron no visualizador de documentos Markdown até que um patch esteja disponível. Restrinja o acesso ao visualizador de documentos Markdown para minimizar o risco de exploração. Evite usar URLs não validados no visualizador afetado até que o problema seja resolvido.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2024-48463

Produtos afetados

Bruno

Electron

Referências · 11

• 🔥 http://seclists.org/fulldisclosure/2025/Jan/6 · Exploit
• 🔥 https://gist.github.com/opcod3r/ab69f36d52367df7ffac32a597dff31c · Exploit
• https://github.com/usebruno/bruno/releases/tag/v1.29.1 · Nota
• https://github.com/usebruno/bruno/pull/3122 · Correção
• https://t.me/cvedetector/9790 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1853550204558958892 · Publicação no Twitter
• https://usebruno.com/changelog · Nota
• https://twitter.com/VulmonFeeds/status/1853709922770333776 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-48463 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-48463 · Aviso do Fabricante
• https://t.me/cvenotify/107606 · Publicação no Telegram