PT-2024-7511

CVE-2024-49366

Publicado

2024-10-09

Atualizado

2024-11-07

Descrição por

CVSS 4.0

8.7

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

Nginx UI versões 2.0.0-beta.35 e anteriores

Descrição:

O problema está relacionado ao tratamento de campos JSON pelo Nginx UI sem a devida verificação, permitindo que um invasor construa um valor na forma de ../../ e grave arquivos arbitrários no servidor. Isso pode resultar na perda de permissões. A vulnerabilidade pode ser explorada por um invasor remoto e pode levar à gravação não autorizada de arquivos.

Recomendações:

Para as versões 2.0.0-beta.35 e anteriores do Nginx UI, atualize para a versão 2.0.0-beta.26 ou posterior para corrigir o problema.

Como solução temporária, considere restringir o acesso ao manipulador JSON para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Unam4

Fornecedores

Produtos afetados

Enumeração de fraquezas