PT-2024-35165 · Unknown · Common-User-Management

D3Sca · Publicado 2024-11-14 · Atualizado 2025-04-15 · CVE-2024-52302

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

common-user-management (versões afetadas não especificadas)

Descrição

O problema diz respeito a uma vulnerabilidade crítica de segurança no endpoint da aplicação /api/v1/customer/profile-picture, que permite o upload de arquivos sem validação ou restrições adequadas. Isso permite que invasores enviem arquivos maliciosos, o que pode levar à execução remota de código (RCE).

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-52302

GHSA-RHCQ-44G3-5XCX

Produtos afetados

Common-User-Management

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/52xxx/CVE-2024-52302.json · Exploit
• 🔥 https://exploit-db.com/exploits/52206 · Exploit
• https://github.com/OsamaTaher/Java-springboot-codebase/security/advisories/GHSA-rhcq-44g3-5xcx · Nota
• https://github.com/OsamaTaher/Java-springboot-codebase/commit/204402bb8b68030c14911379ddc82cfff00b8538 · Nota
• https://osv.dev/vulnerability/CVE-2024-52302 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1857086253633577400 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-52302 · Nota de Segurança
• https://twitter.com/syedaquib77/status/1912228106024214690 · Publicação no Twitter
• https://t.me/cvedetector/10966 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1857084120385327444 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1857102608768311676 · Publicação no Twitter