PT-2024-9898 · Craft Cms · Craft Cms

Akues-An · Publicado 2024-11-19 · Atualizado 2026-01-04 · CVE-2024-56145

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 3.9.14, 4.13.2 e 5.5.2 do Craft CMS

Descrição

O Craft CMS está sujeito a uma vulnerabilidade que permite a execução remota de código. Isso afeta usuários cuja configuração do arquivo php.ini tenha a opção register argc argv ativada. Existe um vetor de exploração não especificado para a execução remota de código para esses usuários. Estima-se que aproximadamente 150.000 sites criados com o Craft CMS estejam afetados. A vulnerabilidade permite que um invasor insira código no lugar de argumentos da CLI, potencialmente obtendo execução remota de código. A exploração foi demonstrada publicamente, e uma exploração de prova de conceito (PoC) está disponível.

Recomendações

Atualize para a versão 3.9.14.

Atualize para a versão 4.13.2.

Atualize para a versão 5.5.2.

Se a atualização não for possível, desative a configuração register argc argv no seu arquivo php.ini para mitigar o problema.

Exploit

Correção

RCE

Code Injection

OS Command Injection

Enumeração de Fraquezas

CWE-94

CWE-78

Identificadores relacionados

BDU:2025-00007

CVE-2024-56145

GHSA-2P6P-9RC9-62J9

Produtos afetados

Craft Cms

Referências · 56

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/56xxx/CVE-2024-56145.json · Exploit
• 🔥 https://github.com/Chocapikk/CVE-2024-56145 · Exploit
• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/commit/82e893fb794d30563da296bca31379c0df0079b3 · Correção
• https://github.com/craftcms/cms/security/advisories/GHSA-2p6p-9rc9-62j9 · Nota de Segurança, Aviso do Fabricante
• https://t.me/cvedetector/13254 · Publicação no Telegram
• https://twitter.com/moton/status/1871186385228668962 · Publicação no Twitter
• https://t.me/cvenotify/124141 · Publicação no Telegram
• https://vuldb.com/?id.288870 · Nota
• https://t.me/cvenotify/124534 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-56145 · Nota de Segurança
• https://twitter.com/yunus_huse9663/status/1871098927812153701 · Publicação no Twitter
• https://twitter.com/byt3n33dl3/status/1869645450980237514 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-56145 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1869537375006642433 · Publicação no Twitter