CVE-2024-6746

NaiboWang EasySpider versão 0.6.2

Foi encontrada uma vulnerabilidade problemática no componente HTTP GET Request Handler do NaiboWang EasySpider, especificamente no arquivo server.js. A falha permite o traversal de caminho quando um invasor manipula a entrada com uma sequência como /../../../../../../../../../Windows/win.ini, levando ao acesso a arquivos como ‘../filedir’. Este ataque só pode ser realizado dentro de uma rede local. A exploração para este problema foi divulgada publicamente. A operação padrão do software é local e não o expõe à internet, o que, segundo o mantenedor do código, atenua a gravidade do problema.

Para o NaiboWang EasySpider versão 0.6.2, considere restringir o acesso ao componente vulnerável HTTP GET Request Handler até que um patch esteja disponível. Como solução temporária, evite usar entradas que possam levar à traversal de caminho no arquivo server.js. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.