PT-2025-1308 · Devdojo · Devdojo Voyager

Yaniv Nizry · Publicado 2025-01-30 · Atualizado 2025-09-22 · CVE-2024-55415

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas DevDojo Voyager versões 1.8.0 e anteriores

Descrição A falha permite que um atacante obtenha acesso a informações sensíveis através de path traversal no endpoint da API "/admin/compass". Esta vulnerabilidade está relacionada a erros no tratamento de caminhos relativos de diretórios, que podem ser explorados por um atacante remoto para comprometer a confidencialidade, integridade e disponibilidade das informações protegidas.

Recomendações Para as versões 1.8.0 e anteriores do DevDojo Voyager, considere restringir o acesso ao endpoint "/admin/compass" até que um patch esteja disponível. Como medida temporária, limite a exposição de informações sensíveis que poderiam ser acessadas através deste endpoint.

Exploit

Correção

Path traversal

Relative Path Traversal

Enumeração de Fraquezas

CWE-22

CWE-23

Identificadores relacionados

BDU:2025-00932

CVE-2024-55415

GHSA-J63M-2VR6-FV7M

Produtos afetados

Devdojo Voyager

Referências · 26

• 🔥 https://sonarsource.com/blog/the-tainted-voyage-uncovering-voyagers-vulnerabilities · Exploit
• https://github.com/thedevdojo/voyager · Nota
• https://github.com/thedevdojo/voyager?utm_source=Securitylabru · Nota
• https://github.com/thedevdojo/voyager/blob/1.6/src/Http/Controllers/VoyagerCompassController.php#L213 · Nota
• https://github.com/thedevdojo/voyager/blob/1.6/src/Http/Controllers/VoyagerCompassController.php#L44 · Nota
• https://github.com/thedevdojo/voyager/blob/1.6/src/Http/Controllers/VoyagerMediaController.php#L238 · Nota
• https://twitter.com/pravin_karthik/status/1885153608536383570 · Publicação no Twitter
• https://securitylab.ru/news/555965.php · Nota
• https://t.me/cvenotify/110250 · Publicação no Telegram
• https://reddit.com/r/CVEWatch/comments/1nniefc/top_10_trending_cves_22092025 · Publicação no Reddit
• https://t.me/true_secator/6678 · Publicação no Telegram
• https://twitter.com/offsectraining/status/1969017195616432329 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-55415 · Nota de Segurança
• https://t.me/cvenotify/123461 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-00932 · Nota de Segurança