PT-2024-34657 · Octoprint · Octoprint
Jacopotediosi
·
Publicado
2024-11-05
·
Atualizado
2024-12-18
·
CVE-2024-51493
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do OctoPrint até a 1.10.2, inclusive
Descrição
O OctoPrint fornece uma interface web para controlar impressoras 3D de consumo. A vulnerabilidade permite que um invasor que tenha obtido controle temporário sobre a sessão do navegador do OctoPrint de uma vítima autenticada recupere, recrie ou exclua a chave API do usuário ou a chave API global sem precisar se reautenticar digitando novamente a senha da conta do usuário. Um invasor poderia usar uma chave API roubada para acessar o OctoPrint por meio de sua API ou interromper fluxos de trabalho, dependendo da chave API que tiver sido excluída.
Recomendações
Para versões até e incluindo a 1.10.2, atualize para a versão 1.10.3 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso à API até que a vulnerabilidade seja resolvida. Evite usar a chave API em operações confidenciais até que a atualização seja aplicada.
Exploit
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Octoprint