CVE-2024-24024

Novel-Plus versões 4.3.0-RC1 e anteriores

Existe uma vulnerabilidade relacionada ao download arbitrário de arquivos, permitindo que um invasor baixe arquivos ao passar parâmetros filePath e fileName especialmente criados para a função fileDownload() no FileController.

Para as versões 4.3.0-RC1 e anteriores do Novel-Plus, como solução temporária, considere desativar a função fileDownload() no FileController até que um patch esteja disponível. Restrinja o acesso ao FileController para minimizar o risco de exploração. Evite usar os parâmetros filePath e fileName no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.