PT-2024-34656 · Zusam · Zusam

Ppfeister · Publicado 2024-11-01 · Atualizado 2024-11-02 · CVE-2024-51492

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Zusam anteriores à 0.5.6

Descrição

A vulnerabilidade permite a execução irrestrita de scripts durante o carregamento de imagens quando arquivos SVG especialmente criados são enviados para o serviço. Isso pode levar ao roubo do token de sessão de longa duração do usuário alvo, que permanece válido indefinidamente, a menos que o usuário solicite um novo. O token de sessão é usado de forma intercambiável com a chave API estática do usuário na plataforma.

Recomendações

Para versões anteriores à 0.5.6, atualize para a versão 0.5.6 para corrigir a vulnerabilidade de cross-site scripting. Como solução temporária, considere restringir o envio de arquivos SVG para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-51492

GHSA-96FX-5RQV-JFXH

Produtos afetados

Zusam

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/51xxx/CVE-2024-51492.json · Exploit
• https://github.com/zusam/zusam/commit/5930fdf86fa4abed01f0b345c8ec3c443656db9a · Nota
• https://github.com/zusam/zusam/security/advisories/GHSA-96fx-5rqv-jfxh · Nota
• https://github.com/zusam/zusam/releases/tag/0.5.6 · Nota
• https://twitter.com/VulmonFeeds/status/1852518809984209298 · Publicação no Twitter
• https://t.me/cvedetector/9620 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-51492 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-51492 · Nota de Segurança
• https://pfeister.dev/CVE-2024-51492 · Nota
• https://twitter.com/CveFindCom/status/1852387913587110070 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1852393599813726689 · Publicação no Twitter