CVE-2024-6424

MESbook versão 20221021.03

A vulnerabilidade permite que um invasor remoto não autenticado explore o endpoint “/api/Proxy/Post?userName=&password=&uri=<FILE|INTERNAL URL|IP/HOST” ou “/api/Proxy/Get?userName=&password=&uri=<ARCHIVO|URL INTERNA|IP/HOST” para ler o código-fonte de arquivos da web, ler arquivos internos ou acessar recursos de rede.

Para a versão 20221021.03 do MESbook, considere desativar o acesso aos endpoints /api/Proxy/Post e /api/Proxy/Get até que uma correção esteja disponível. Restrinja o uso dos parâmetros userName, password e uri nesses endpoints para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.