PT-2025-12162 · Aimhubio · Aim

Publicado 2025-03-20 · Atualizado 2025-03-21 · CVE-2024-6483

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas aimhubio/aim versão 3.19.3

Descrição Uma vulnerabilidade no endpoint "runs/delete-batch" permite a exclusão arbitrária de arquivos ou diretórios através de path traversal. O endpoint não mitiga path traversal ao lidar com run-names especificados pelo usuário, que são usados para especificar arquivos de log/metadados para exclusão. Isso pode ser explorado para excluir arquivos ou diretórios arbitrários, potencialmente causando negação de serviço ou perda de dados.

Recomendações Para o aimhubio/aim versão 3.19.3, considere desabilitar o endpoint runs/delete-batch até que um patch esteja disponível para prevenir a exclusão arbitrária de arquivos ou diretórios. Restrinja o acesso ao endpoint para minimizar o risco de exploração. Evite utilizar run-names especificados pelo usuário no endpoint afetado até que o problema seja resolvido.

Exploit

Correção

Relative Path Traversal

Enumeração de Fraquezas

CWE-23

Identificadores relacionados

CVE-2024-6483

GHSA-P6X3-V6G3-7557

Produtos afetados

Aim

Referências · 6

• 🔥 https://huntr.com/bounties/dc45d480-e579-4af4-8603-c52ecfd5e363 · Exploit
• https://github.com/aimhubio/aim · Nota
• https://osv.dev/vulnerability/GHSA-p6x3-v6g3-7557 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-6483 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902968887953723627 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-6483 · Nota de Segurança