PT-2024-37554 · Zkteco · Zkbio Cvsecurity V5000

Stux · Publicado 2024-06-26 · Atualizado 2025-07-10 · CVE-2024-6344

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.4

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

ZKTeco ZKBio CVSecurity V5000 versão 4.1.0

Descrição

Foi identificada uma falha no componente da Seção de Configuração Push. A manipulação do argumento Configuration Name leva a um ataque de cross-site scripting. É possível iniciar o ataque remotamente. O fornecedor foi contatado sobre esta divulgação, mas não respondeu.

Recomendações

Para o ZKTeco ZKBio CVSecurity V5000 versão 4.1.0, como solução temporária, considere restringir o acesso à seção Push Configuration até que uma correção esteja disponível. Evite manipular o argumento Configuration Name nesta seção para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

XSS

Code Injection

Enumeração de Fraquezas

CWE-79

CWE-94

Identificadores relacionados

CVE-2024-6344

Produtos afetados

Zkbio Cvsecurity V5000

Referências · 10

• https://t.me/cvenotify/128194 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-6344 · Aviso do Fabricante
• https://t.me/cvenotify/84463 · Publicação no Telegram
• https://vuldb.com/?submit.358596 · Nota
• https://vuldb.com/?ctiid.269733 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-6344 · Nota de Segurança
• https://zkteco.com/en/Security_Bulletinsibs/17 · Nota
• https://vuldb.com/?id.269733 · Nota
• https://t.me/cvenotify/128311 · Publicação no Telegram
• https://t.me/cvenotify/84590 · Publicação no Telegram