PT-2024-29488

CVE-2024-41659

Publicado

2024-08-20

Atualizado

2024-08-30

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

memos versões 0.20.1 e anteriores

Descrição

Existe uma configuração incorreta de CORS no memos, na qual uma origem arbitrária é refletida com Access-Control-Allow-Credentials definido como true. Isso pode permitir que um site invasor faça uma solicitação entre origens, permitindo que o invasor leia informações privadas ou faça alterações privilegiadas no sistema como a conta de usuário vulnerável.

Recomendações

Para as versões 0.20.1 e anteriores do memos, atualize para a versão 0.21.0 para corrigir a vulnerabilidade de configuração incorreta do CORS. Como solução temporária, considere restringir o acesso a informações confidenciais e ações privilegiadas para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Pesquisadores

Kevin Stubbings

Kwstubbs

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-942: Permissive Cross-domain Policy with Untrusted Domains

Identificadores relacionados

CVE-2024-41659