PT-2024-38057

CVE-2024-7067

·

Publicado

2024-07-24

·

Atualizado

2024-07-26

Descrição por

CVSS 2.0
6.5
Média
MétricasAV:N/AC:L/Au:S/C:P/I:P/A:P
Nome do software vulnerável e versões afetadas
kirilkirkov Ecommerce-Laravel-Bootstrap até 1f1097a3448ce8ec53e034ea0f70b8e2a0e64a87
Descrição
Foi encontrada uma falha crítica na função getCartProductsIds do arquivo app/Cart.php. A manipulação do argumento laraCart leva à deserialização. Esta falha pode ser explorada remotamente. A exploração foi divulgada ao público e pode estar em uso.
Recomendações
Para corrigir esta vulnerabilidade, recomenda-se aplicar um patch, especificamente aquele denominado a02111a674ab49f65018b31da3011b1e396f59b1. Como solução temporária, considere desativar a função getCartProductsIds até que um patch esteja disponível. Restrinja o acesso ao arquivo app/Cart.php para minimizar o risco de exploração. Evite usar o argumento laraCart até que o problema seja resolvido.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-502: Deserialization of Untrusted Data
Identificadores relacionados
CVE-2024-7067
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com