CVE-2024-54452

Nome do software vulnerável e versões afetadas:

Versões do Kurmi Provisioning Suite anteriores à 7.9.0.35

Versões do Kurmi Provisioning Suite da 7.10.x à 7.10.0.18

Descrição:

Uma vulnerabilidade de traversal de diretório e inclusão de arquivo local na página logsSys.do permite que invasores remotos, autenticados como administradores, provoquem a exibição de arquivos indesejados. Qualquer arquivo acessível à conta de usuário do Kurmi pode ser exibido, como arquivos de configuração contendo informações como a senha do banco de dados.

Recomendações:

Para versões anteriores à 7.9.0.35, atualize para a versão 7.9.0.35 ou posterior.

Para as versões 7.10.x a 7.10.0.18, atualize para uma versão posterior à 7.10.0.18.

Como solução alternativa temporária, considere restringir o acesso à página logsSys.do até que um patch esteja disponível.