PT-2024-38975 · Grocy · Grocy

Stux

·

Publicado

2024-09-01

·

Atualizado

2025-01-06

·

CVE-2024-8370

CVSS v3.1

5.4

Média

VetorAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas:
Versões do Grocy até a 4.2.0
Descrição:
Foi encontrada uma vulnerabilidade crítica no componente SVG File Upload Handler do Grocy, afetando o caminho /api/files/recipepictures/. A manipulação do argumento force serve as com a entrada picture leva a um ataque de cross-site scripting. O ataque pode ser iniciado remotamente. A existência real dessa vulnerabilidade ainda é questionada, e o mantenedor do projeto não deseja ser citado a respeito dos fundamentos da controvérsia. A política de segurança do projeto implica que essa descoberta é “praticamente irrelevante” devido aos requisitos de autenticação. Observa-se um aumento nas atividades de agentes maliciosos visando o Grocy.
Recomendações:
Para proteger seu sistema, certifique-se de atualizar para a versão mais recente e aplicar todos os patches recomendados. Como solução temporária, considere restringir o acesso ao caminho /api/files/recipepictures/ no componente SVG File Upload Handler até que um patch esteja disponível. Evite usar o argumento force serve as com a entrada picture no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-8370

Produtos afetados

Grocy