CVE-2024-24230

Komm.One CMS versão 10.4.2.14

O problema está relacionado a uma vulnerabilidade de injeção de modelo no lado do servidor (SSTI) por meio do mecanismo de modelos Velocity. Ela permite que invasores remotos executem código arbitrário por meio de uma URL que especifique java.lang.Runtime em conjunto com getRuntime().exec, seguido por um comando do sistema operacional.

Para o Komm.One CMS versão 10.4.2.14, como solução temporária, considere desativar o mecanismo de modelos Velocity até que um patch esteja disponível. Restrinja o acesso a URLs que possam especificar java.lang.Runtime para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.