CVE-2024-21518

opencart/opencart versões 4.0.0.0 e posteriores

Foi identificada uma vulnerabilidade do tipo “Zip Slip” no instalador do marketplace devido à sanitização inadequada do caminho de destino, permitindo que arquivos contidos em um arquivo compactado malicioso percorressem o sistema de arquivos e fossem extraídos para locais arbitrários. Um invasor pode criar arquivos arbitrários na raiz web do aplicativo e sobrescrever outros arquivos existentes explorando essa vulnerabilidade.

Para as versões 4.0.0.0 e posteriores, atualize o pacote opencart/opencart para uma versão que inclua a correção para a vulnerabilidade Zip Slip. Como solução temporária, considere desativar o instalador do marketplace até que um patch esteja disponível. Restrinja o acesso ao instalador do marketplace para minimizar o risco de exploração. Evite usar o instalador do marketplace para instalar pacotes de fontes não confiáveis até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.