CVE-2024-29640
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
Podatność w aliyundrive-webdav w wersji 2.3.3 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany parametr sid w komponencie action_query_qrcode.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz potencjalnego rozprzestrzenienia się ataku w sieci wewnętrznej.
Rekomendacja
Należy natychmiast zaktualizować aliyundrive-webdav do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć dostęp do interfejsu webowego tylko dla zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
An issue in aliyundrive-webdav v.2.3.3 and before allows a remote attacker to execute arbitrary code via a crafted payload to the sid parameter in the action_query_qrcode component.