CVE-2024-3955

Krytyczne

Opublikowano: 02/05/2024(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Parametr GET URL 'logtime' używany w funkcji 'downloadlog' z pliku 'cbpi/http_endpoints/http_system.py' jest przekazywany do funkcji 'os.system' w 'cbpi/controller/system_controller.py' bez wcześniejszej walidacji, co pozwala na wykonanie dowolnego kodu. Problem ten dotyczy CraftBeerPi 4 w wersjach od 4.0.0.58 (commit 563fae9) do przed 4.4.1.a1 (commit 57572c7).

Ocena ryzyka

Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.

Rekomendacja

Zaleca się aktualizację CraftBeerPi do wersji 4.4.1.a1 lub nowszej, aby usunąć tę podatność oraz wprowadzenie walidacji parametrów wejściowych w aplikacji.

Oryginalny opis (angielski, źródło NVD)

URL GET parameter "logtime" utilized within the "downloadlog" function from "cbpi/http_endpoints/http_system.py" is subsequently passed to the "os.system" function in "cbpi/controller/system_controller.py" without prior validation allowing to execute arbitrary code.This issue affects CraftBeerPi 4: from 4.0.0.58 (commit 563fae9) before 4.4.1.a1 (commit 57572c7).