CVE-2024-8023

Nome do software vulnerável e versões afetadas:

chillzhuang SpringBlade versão 4.1.0

Descrição:

Foi encontrada uma vulnerabilidade crítica no software, afetando uma função desconhecida do arquivo “/api/blade-system/menu/list?updatexml”. A manipulação leva à injeção de SQL, e é possível lançar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso. O fornecedor foi contatado antecipadamente sobre essa divulgação, mas não respondeu de forma alguma.

Recomendações:

Para o chillzhuang SpringBlade versão 4.1.0, como solução temporária, considere restringir o acesso ao endpoint da API “/api/blade-system/menu/list?updatexml” até que um patch esteja disponível. Evite usar o parâmetro updatexml no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.