PT-2024-33674 · Librenms · Librenms

Raphaelcss + 1 · Publicado 2024-11-15 · Atualizado 2024-11-20 · CVE-2024-49764

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas:

Versões do LibreNMS anteriores à 24.10.0

Descrição:

Uma vulnerabilidade de Stored Cross-Site Scripting (XSS) na página “Capture Debug Information” permite que usuários autenticados injetem JavaScript arbitrário por meio do parâmetro hostname ao criar um novo dispositivo. Isso resulta na execução de código malicioso quando a página “Capture Debug Information” é visitada, redirecionando o usuário e enviando cookies não-httponly para um domínio controlado pelo invasor.

Recomendações:

Para versões anteriores à 24.10.0, atualize para a versão 24.10.0 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso à página “Capture Debug Information” para minimizar o risco de exploração. Evite usar o parâmetro hostname na página afetada até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-49764

GHSA-RMR4-X6C9-JC68

Produtos afetados

Librenms

Referências · 11

• 🔥 https://github.com/librenms/librenms/security/advisories/GHSA-rmr4-x6c9-jc68 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/49xxx/CVE-2024-49764.json · Exploit
• https://github.com/librenms/librenms · Nota
• https://github.com/librenms/librenms/commit/af15eabbb1752985d36f337cecf137a947e170f6 · Correção
• https://twitter.com/CVEnew/status/1857448656800010689 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1857502198894108919 · Publicação no Twitter
• https://t.me/cvedetector/11108 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-49764 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-49764 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rmr4-x6c9-jc68 · Aviso do Fabricante
• https://t.me/cvenotify/102281 · Publicação no Telegram