PT-2024-36824 · Unknown · Changedetection.Io
Vicevirus
·
Publicado
2024-12-27
·
Atualizado
2025-01-01
·
CVE-2024-56509
CVSS v3.1
8.6
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do changedetection.io anteriores à 0.48.05
Descrição
O problema está relacionado à validação inadequada de entradas no aplicativo, o que pode permitir que invasores realizem ataques de leitura de arquivos locais (LFR) ou de traversal de caminho. Esses ataques ocorrem quando a entrada do usuário é usada para construir caminhos de arquivos sem sanitização ou validação adequadas. Por exemplo, usar
file:../../../etc/passwd ou file: ///etc/passwd pode contornar validações fracas e permitir acesso não autorizado a arquivos confidenciais. A vulnerabilidade é explorada usando entradas específicas, como file:../../../../etc/passwd ou file: ///etc/passwd (com espaço antes do /), para contornar verificações insuficientes no código.Recomendações
Para versões do changedetection.io anteriores à 0.48.05, atualize para a versão 0.48.05 para corrigir o problema. Como solução temporária, considere restringir o uso do protocolo
file: no aplicativo para minimizar o risco de exploração. Evite usar o protocolo file: com entradas não confiáveis até que o problema seja resolvido.Exploit
Correção
Information Disclosure
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Changedetection.Io