PT-2025-2049 · Unknown · Zerowdd Myblog

Lvzc1 + 1 · Publicado 2025-01-08 · Atualizado 2025-01-09 · CVE-2024-13191

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ZeroWdd myblog versão 1.0

Descrição Um problema crítico foi identificado na função de upload do arquivo src/main/java/com/wdd/myblog/controller/admin/uploadController.java. A manipulação do argumento file resulta em upload irrestrito. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado.

Recomendações Para o ZeroWdd myblog versão 1.0, como medida temporária, considere desativar a função de upload no arquivo uploadController.java até que um patch esteja disponível. Restrinja o acesso ao arquivo src/main/java/com/wdd/myblog/controller/admin/uploadController.java para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2024-13191

Produtos afetados

Zerowdd Myblog

Referências · 10

• 🔥 https://github.com/ZeroWdd/myblog/issues/3 · Exploit
• 🔥 https://github.com/ZeroWdd/myblog/issues/3#issue-2759839215 · Exploit
• https://vuldb.com/?ctiid.290783 · Nota
• https://vuldb.com/?id.290783 · Nota
• https://osv.dev/vulnerability/CVE-2024-13191 · Aviso do Fabricante
• https://vuldb.com/?submit.469229 · Nota
• https://twitter.com/VulmonFeeds/status/1877254087860777322 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1877125764681757081 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-13191 · Nota de Segurança
• https://t.me/cvedetector/14748 · Publicação no Telegram