PT-2024-18965

CVE-2024-21574

Publicado

2024-12-12

Atualizado

2024-12-12

Descrição por

CVSS 3.1

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

SoftwareX (versões afetadas não especificadas)

Descrição

O problema decorre da falta de validação do campo pip em uma solicitação POST enviada ao endpoint “/customnode/install”, que é usado para instalar nós personalizados e é adicionado ao servidor pela extensão. Isso permite que um invasor crie uma solicitação que acione uma instalação do pip em um pacote ou URL controlado pelo usuário, resultando na execução remota de código (RCE) no servidor.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Raul Onitza-Klugman

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

Identificadores relacionados