CVE-2024-32651
KrytyczneStreszczenie
changedetection.io to otwartoźródłowa usługa monitorowania zmian na stronach internetowych, która zawiera podatność typu Server Side Template Injection (SSTI) w Jinja2. Umożliwia to zdalne wykonywanie poleceń na serwerze, co pozwala atakującym na uruchamianie dowolnych poleceń systemowych bez ograniczeń.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne, ponieważ atakujący może całkowicie przejąć kontrolę nad maszyną serwerową. Choć umieszczenie changedetection za stroną logowania może zmniejszyć ryzyko, nie jest to wymagane przez aplikację.
Rekomendacja
Zaleca się zabezpieczenie aplikacji poprzez umieszczenie jej za stroną logowania oraz regularne aktualizowanie oprogramowania, aby zminimalizować ryzyko wykorzystania tej podatności.
Oryginalny opis (angielski, źródło NVD)
changedetection.io is an open source web page change detection, website watcher, restock monitor and notification service. There is a Server Side Template Injection (SSTI) in Jinja2 that allows Remote Command Execution on the server host. Attackers can run any system command without any restriction and they could use a reverse shell. The impact is critical as the attacker can completely takeover the server machine. This can be reduced if changedetection is behind a login page, but this isn't required by the application (not by default and not enforced).