PT-2024-40002

Publicado

2024-06-07

·

Atualizado

2024-06-07

Descrição por

CVSS 3.1
8.6
Alta
MétricasAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Zend XmlRpc (versões afetadas não especificadas)
Descrição
A vulnerabilidade diz respeito a ataques de injeção de entidade externa (XXE) em XML. Ela decorre do uso inseguro da classe SimpleXMLElement na extensão PHP SimpleXML para analisar dados XML. Um invasor pode explorar essa vulnerabilidade adicionando um elemento DOCTYPE específico às solicitações XML-RPC, o que lhe permite especificar entidades externas. Isso pode forçar um aplicativo a abrir arquivos arbitrários e/ou estabelecer conexões TCP.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-611: Improper Restriction of XML External Entity Reference
Identificadores relacionados
GHSA-229X-22XC-2F2W
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com