PT-2024-38486 · Unknown · Projectsend

Casp3R0X0 + 1 · Publicado 2024-08-11 · Atualizado 2025-01-13 · CVE-2024-7658

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do ProjectSend até a r1605

Descrição

Foi encontrada uma vulnerabilidade no ProjectSend, afetando a função get preview do arquivo process.php. Esse problema leva ao controle inadequado de identificadores de recursos e pode ser iniciado remotamente. O número estimado de dispositivos potencialmente afetados não foi fornecido. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.

Recomendações

Para versões do ProjectSend até r1605, atualize para a versão r1720 para resolver este problema. Como solução temporária, considere desativar a função get preview do arquivo process.php até que o patch seja aplicado. Restrinja o acesso ao arquivo process.php para minimizar o risco de exploração.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

CWE-99

Identificadores relacionados

CVE-2024-7658

Produtos afetados

Projectsend

Referências · 10

• https://github.com/projectsend/projectsend/releases/tag/r1720 · Correção
• https://github.com/projectsend/projectsend/commit/eb5a04774927e5855b9d0e5870a2aae5a3dc5a08 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-7658 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-7658 · Aviso do Fabricante
• https://t.me/cvenotify/90369 · Publicação no Telegram
• https://vuldb.com/?submit.385000 · Nota
• https://vuldb.com/?ctiid.274115 · Nota
• https://vuldb.com/?id.274115 · Nota
• https://twitter.com/VulmonFeeds/status/1823021925183975646 · Publicação no Twitter
• https://kiyell.com/private-files-from-projectsend-idor · Nota