PT-2024-33665 · Librenms · Librenms

Raphaelcss + 1 · Publicado 2024-11-15 · Atualizado 2024-11-20 · CVE-2024-49754

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas:

Versões do LibreNMS anteriores à 24.10.0

Descrição:

Uma vulnerabilidade de Stored Cross-Site Scripting (XSS) na página API-Access permite que usuários autenticados injetem JavaScript arbitrário por meio do parâmetro token ao criar um novo token de API. Isso pode resultar na execução de código malicioso no contexto das sessões de outros usuários, comprometendo suas contas e possibilitando ações não autorizadas.

Recomendações:

Para versões anteriores à 24.10.0, atualize para a versão 24.10.0 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso à página API-Access ou desativar a criação de novos tokens de API até que a atualização seja aplicada. Evite usar o parâmetro token no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-49754

GHSA-GFWR-XQMJ-J27V

Produtos afetados

Librenms

Referências · 10

• 🔥 https://github.com/librenms/librenms/security/advisories/GHSA-gfwr-xqmj-j27v · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/49xxx/CVE-2024-49754.json · Exploit
• https://github.com/librenms/librenms · Nota
• https://github.com/librenms/librenms/commit/25988a937cbaebd2ba4c0517510206c404dfb359 · Correção
• https://twitter.com/CVEnew/status/1857448672503472292 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-gfwr-xqmj-j27v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-49754 · Nota de Segurança
• https://t.me/cvenotify/102278 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-49754 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1857540598795776427 · Publicação no Twitter