PT-2025-1307 · Devdojo · Devdojo Voyager

Yaniv Nizry · Publicado 2025-01-30 · Atualizado 2025-02-06 · CVE-2024-55416

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas DevDojo Voyager versões 1.8.0 e anteriores

Descrição A vulnerabilidade permite XSS refletido através do endpoint da API "/admin/compass". Ao induzir um usuário autenticado a clicar em um link, código JavaScript arbitrário pode ser executado.

Recomendações DevDojo Voyager versões 1.8.0 e anteriores: Atualize para uma versão superior à 1.8.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint da API "/admin/compass" até que um patch esteja disponível.

Exploit

Correção

Path traversal

XSS

Relative Path Traversal

Enumeração de Fraquezas

CWE-22

CWE-79

CWE-23

Identificadores relacionados

BDU:2025-00931

BDU:2025-00932

CVE-2024-55416

GHSA-MM49-4F2G-C3WF

Produtos afetados

Devdojo Voyager

Referências · 21

• 🔥 https://sonarsource.com/blog/the-tainted-voyage-uncovering-voyagers-vulnerabilities · Exploit
• https://github.com/thedevdojo/voyager · Nota
• https://github.com/thedevdojo/voyager?utm_source=Securitylabru · Nota
• https://github.com/thedevdojo/voyager/blob/1.6/src/Http/Controllers/VoyagerCompassController.php#L44 · Nota
• https://github.com/thedevdojo/voyager/blob/1.6/resources/views/master.blade.php#L132 · Nota
• https://github.com/thedevdojo/voyager/blob/1.6/src/Http/Controllers/VoyagerMediaController.php#L238 · Nota
• https://twitter.com/pravin_karthik/status/1885153608536383570 · Publicação no Twitter
• https://securitylab.ru/news/555965.php · Nota
• https://bdu.fstec.ru/vul/2025-00931 · Nota de Segurança
• https://twitter.com/CVEnew/status/1884977434845430263 · Publicação no Twitter
• https://t.me/true_secator/6678 · Publicação no Telegram
• https://twitter.com/securityRSS/status/1885086526654021808 · Publicação no Twitter
• https://t.me/cvedetector/16803 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-00932 · Nota de Segurança
• https://t.me/cvenotify/110251 · Publicação no Telegram