PT-2024-17387
CVE-2024-11992
·
Publicado
2024-11-29
·
Atualizado
2024-12-04
Descrição por
CVSS 3.1
9.1
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas
Quick.CMS versão 6.7
Descrição
A vulnerabilidade consiste em um desvio de caminho absoluto que pode permitir que usuários remotos contornem as restrições previstas e baixem qualquer arquivo, desde que possua as permissões adequadas, fora da raiz de documentos configurada no servidor. Isso é feito por meio do parâmetro
aDirFiles%5B0%5D na página “admin.php”. A vulnerabilidade também permite que um invasor exclua arquivos armazenados no servidor devido à falta de verificação adequada das entradas fornecidas pelo usuário.Recomendações
Para o Quick.CMS versão 6.7, aplique o patch imediatamente para corrigir a falha de traversal de caminho no admin.php. Além disso, audite os logs em busca de sinais de exploração para garantir que nenhum acesso não autorizado ou exclusão de arquivos tenha ocorrido. Como solução alternativa temporária, considere restringir o acesso ao parâmetro
aDirFiles%5B0%5D na página admin.php para minimizar o risco de exploração.Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾