PT-2024-32841

CVE-2024-47830

Publicado

2024-10-11

Atualizado

2024-11-12

Descrição por

CVSS 3.1

9.3

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do Plane anteriores à 0.23.0

Descrição

O problema diz respeito a uma ferramenta de gerenciamento de projetos de código aberto que utiliza o suporte a caracteres curinga (*) para recuperar imagens de qualquer nome de host, permitindo potencialmente que um invasor induza o servidor a realizar solicitações para locais indesejados.

Recomendações

Para versões anteriores à 0.23.0, atualize para a versão 0.23.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint /web/next.config.js até que a atualização seja aplicada.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Sim4N6

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados

CVE-2024-47830