PT-2024-39614 · Pluck Cms · Pluck Cms

David Utón Amaya · Publicado 2024-10-01 · Atualizado 2024-10-04 · CVE-2024-9405

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Pluck CMS versão 4.7.18

Descrição

Foi detectada uma falha no Pluck CMS em que há uma limitação incorreta do caminho para um diretório restrito, também conhecida como traversal de caminho. Isso permite que um invasor não autenticado extraia informações confidenciais do servidor por meio do caminho absoluto de um arquivo localizado no mesmo diretório ou subdiretório do módulo. No entanto, isso não afeta diretórios recursivos. O impacto dessa falha é o acesso não autorizado a arquivos confidenciais.

Recomendações

Para o Pluck CMS versão 4.7.18, aplique o patch imediatamente e revise as permissões de arquivo para mitigar o risco de acesso não autorizado a arquivos confidenciais. Como solução temporária, considere restringir o acesso a arquivos e diretórios confidenciais até que um patch seja aplicado.

Correção

Relative Path Traversal

Enumeração de Fraquezas

CWE-23

Identificadores relacionados

CVE-2024-9405

Produtos afetados

Pluck Cms

Referências · 5

• https://incibe.es/en/incibe-cert/notices/aviso/incorrect-limitation-path-restricted-directory-pluck-cms · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-9405 · Nota de Segurança
• https://t.me/cvedetector/6742 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1841080419870994815 · Publicação no Twitter
• https://twitter.com/oktsec/status/1841095140523360738 · Publicação no Twitter