CVE-2024-3955
CriticalSummary
Parametr GET URL 'logtime' używany w funkcji 'downloadlog' z pliku 'cbpi/http_endpoints/http_system.py' jest przekazywany do funkcji 'os.system' w 'cbpi/controller/system_controller.py' bez wcześniejszej walidacji, co pozwala na wykonanie dowolnego kodu. Problem ten dotyczy CraftBeerPi 4 w wersjach od 4.0.0.58 (commit 563fae9) do przed 4.4.1.a1 (commit 57572c7).
Risk Assessment
Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Recommendation
Zaleca się aktualizację CraftBeerPi do wersji 4.4.1.a1 lub nowszej, aby usunąć tę podatność oraz wprowadzenie walidacji parametrów wejściowych w aplikacji.
Original NVD description (English source)
URL GET parameter "logtime" utilized within the "downloadlog" function from "cbpi/http_endpoints/http_system.py" is subsequently passed to the "os.system" function in "cbpi/controller/system_controller.py" without prior validation allowing to execute arbitrary code.This issue affects CraftBeerPi 4: from 4.0.0.58 (commit 563fae9) before 4.4.1.a1 (commit 57572c7).