PT-2024-38274

CVE-2024-7340

Publicado

2024-07-31

Atualizado

2026-07-07

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Weave server (versões afetadas não especificadas)

Descrição

A API do servidor Weave permite que usuários remotos busquem arquivos de um diretório específico, mas, devido à falta de validação de entrada, é possível percorrer e vazar arquivos arbitrários remotamente. Em vários cenários comuns, isso permite que um usuário com privilégios limitados assuma o papel de administrador do servidor. A vulnerabilidade está sendo ativamente explorada.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Natan Nehorai

Uriya Yavnieli

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-20: Improper Input Validation