CVE-2024-33120
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W Roothub v2.5 odkryto podatność umożliwiającą dowolne przesyłanie plików przez parametr customPath w funkcji upload(). Pozwala to atakującemu na wykonanie dowolnego kodu za pomocą spreparowanego pliku JSP.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem, uruchamiając złośliwy kod, co prowadzi do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Należy natychmiast zaktualizować Roothub do najnowszej wersji oraz ograniczyć możliwość przesyłania plików JSP poprzez walidację rozszerzeń i ścieżek.
Oryginalny opis (angielski, źródło NVD)
Roothub v2.5 was discovered to contain an arbitrary file upload vulnerability via the customPath parameter in the upload() function. This vulnerability allows attackers to execute arbitrary code via a crafted JSP file.