CVE-2024-7342

Baidu UEditor versão 1.4.3.3

Foi encontrada uma vulnerabilidade no Baidu UEditor, afetando uma parte desconhecida do arquivo “/ueditor/php/controller.php?action=uploadfile&encode=utf-8”. A manipulação do argumento upfile leva a um upload irrestrito. É possível iniciar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de forma alguma.

Para o Baidu UEditor versão 1.4.3.3, como solução temporária, considere desativar a funcionalidade de upload no endpoint “/ueditor/php/controller.php?action=uploadfile&encode=utf-8” até que um patch esteja disponível. Restrinja o acesso ao argumento upfile para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.