PT-2024-38260 · Anji Plus · Anji-Plus Aj-Report
CVE-2024-7314
·
Publicado
2024-08-02
·
Atualizado
2025-11-20
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do anji-plus AJ-Report <= 1.4.0
Descrição
A vulnerabilidade permite que um invasor remoto e não autenticado contorne a autenticação anexando “;swagger-ui” às solicitações HTTP, podendo executar código Java arbitrário no servidor da vítima. Isso ocorre devido ao tratamento inadequado de permissões insuficientes por meio do endpoint /swagger-ui.
Recomendações
Para as versões do anji-plus AJ-Report <= 1.4.0, atualize imediatamente para mitigar o risco de exploração remota. Como solução temporária, considere restringir o acesso ao endpoint /swagger-ui para minimizar o risco de exploração.
Exploit
Correção
RCE
Authentication Bypass Using an Alternate Path or Channel
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Anji-Plus Aj-Report