CVE-2024-50625

Nome do software vulnerável e versões afetadas:

Versões do Digi ConnectPort LTS anteriores à 1.4.12

Descrição:

Uma vulnerabilidade no processamento de upload de arquivos de uma aplicação web permite a manipulação de caminhos de arquivos por meio de solicitações POST a pontos de extremidade da API, como /file/upload. Isso pode levar ao upload arbitrário de arquivos em diretórios específicos, possibilitando potencialmente a escalada de privilégios quando combinado com outras vulnerabilidades. A variável file path pode ser manipulada para que isso ocorra.

Recomendações:

Para versões anteriores à 1.4.12, atualize para a versão 1.4.12 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de upload de arquivos para minimizar o risco de exploração. Evite usar a variável file path no endpoint da API afetado até que o problema seja resolvido.