PT-2025-23876 · Atheros · Atheos
L8Bl
·
Publicado
2025-06-05
·
Atualizado
2025-06-05
·
CVE-2025-49008
CVSS v4.0
9.4
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Atheos anteriores à 6.0.4
Descrição
O Atheos é um ambiente de desenvolvimento integrado em nuvem, baseado em navegador e auto-hospedado. O uso inadequado de
escapeshellcmd() em /components/codegit/traits/execute.php permite injeção de argumentos, levando à execução arbitrária de comandos. Administradores e usuários de versões vulneráveis estão em risco de violações de dados ou comprometimento do servidor. A versão 6.0.4 introduz uma função Common::safe execute que sanitiza todos os argumentos usando escapeshellarg() antes da execução e migrou todos os componentes potencialmente vulneráveis a explorações semelhantes para usar este novo sistema de execução baseado em modelos.Recomendações
Atualize para a versão 6.0.4 para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao endpoint
/components/codegit/traits/execute.php até que a atualização seja aplicada.
Evite usar a função escapeshellcmd() em operações sensíveis até que a função Common::safe execute seja implementada.Exploit
Correção
Argument Injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Atheos