PT-2024-39061 · Vicidial · Vicidial

Jaggar Henry · Publicado 2024-07-05 · Atualizado 2025-11-21 · CVE-2024-8504

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

VICIdial (versões afetadas não especificadas)

Descrição

Um invasor autenticado com acesso de agente pode executar comandos de shell arbitrários como usuário root. Essa vulnerabilidade pode ser combinada com outra para executar comandos de shell arbitrários sem autenticação. A vulnerabilidade está relacionada à falta de proteção da estrutura da consulta SQL no script VERM AJAX functions.php. A exploração pode permitir que um invasor remoto execute código arbitrário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

OS Command Injection

Enumeração de Fraquezas

CWE-89

CWE-78

Identificadores relacionados

BDU:2025-02024

CVE-2024-8504

Produtos afetados

Vicidial

Referências · 39

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/unix/webapp/vicidial_agent_authenticated_rce.rb · Exploit
• 🔥 https://github.com/Chocapikk/CVE-2024-8504 · Exploit
• 🔥 https://github.com/havokzero/ViciDial · Exploit
• https://t.me/p0x3k/1934 · Publicação no Telegram
• https://twitter.com/Turtandazxc/status/1835369441405681878 · Publicação no Twitter
• https://twitter.com/DarkWebInformer/status/1835087408724926522 · Publicação no Twitter
• https://twitter.com/moton/status/1836027858340155470 · Publicação no Twitter
• https://twitter.com/ptracesecurity/status/1835430929336009205 · Publicação no Twitter
• https://twitter.com/ksg93rd/status/1835767337430987215 · Publicação no Twitter
• https://korelogic.com/Resources/Advisories/KL-001-2024-011.txt · Nota
• https://twitter.com/WhichbufferArda/status/1864735776413540600 · Publicação no Twitter
• https://t.me/pentestingnews/51436 · Publicação no Telegram
• https://twitter.com/CeptBiro/status/1836393174626955270 · Publicação no Twitter
• https://t.me/proxy_bar/2264 · Publicação no Telegram
• https://korelogic.com/Resources/Advisories/KL-001-2024-012.txt · Nota