PT-2024-36824 · Unknown · Changedetection.Io

Vicevirus

·

Publicado

2024-12-27

·

Atualizado

2025-01-01

·

CVE-2024-56509

CVSS v3.1

8.6

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do changedetection.io anteriores à 0.48.05
Descrição
O problema está relacionado à validação inadequada de entradas no aplicativo, o que pode permitir que invasores realizem ataques de leitura de arquivos locais (LFR) ou de traversal de caminho. Esses ataques ocorrem quando a entrada do usuário é usada para construir caminhos de arquivos sem sanitização ou validação adequadas. Por exemplo, usar file:../../../etc/passwd ou file: ///etc/passwd pode contornar validações fracas e permitir acesso não autorizado a arquivos confidenciais. A vulnerabilidade é explorada usando entradas específicas, como file:../../../../etc/passwd ou file: ///etc/passwd (com espaço antes do /), para contornar verificações insuficientes no código.
Recomendações
Para versões do changedetection.io anteriores à 0.48.05, atualize para a versão 0.48.05 para corrigir o problema. Como solução temporária, considere restringir o uso do protocolo file: no aplicativo para minimizar o risco de exploração. Evite usar o protocolo file: com entradas não confiáveis até que o problema seja resolvido.

Exploit

Correção

Information Disclosure

Path traversal

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-56509
GHSA-J5VV-6WJG-CFR8

Produtos afetados

Changedetection.Io