CVE-2024-58312
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 68 - wyżej niż 68% wszystkich znanych CVE
Streszczenie
xbtitFM 4.1.18 zawiera podatność path traversal, która pozwala nieuwierzytelnionym atakującym na dostęp do wrażliwych plików systemowych poprzez manipulację parametrami URL. Atakujący mogą wykorzystać techniki przechodzenia przez katalogi, używając zakodowanych znaków path traversal w żądaniach HTTP do odczytu krytycznych plików systemowych.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać poufne pliki systemowe, co może ujawnić dane uwierzytelniające lub inne wrażliwe informacje.
Rekomendacja
Zaktualizuj xbtitFM do wersji naprawiającej podatność i wdroż walidację parametrów URL.
Inne podatności w xbtitFM
Zobacz wszystkie- CVE-2024-58309Krytyczne
xbtitFM 4.1.18 zawiera nieuwierzytelnioną podatność wstrzykiwania SQL, która pozwala zdalnym atakującym manipulować zapytaniami do bazy danych poprzez parametr msgid. Atakujący mogą wysyłać spreparowane żądania do /shoutedit.php z funkcjami EXTRACTVALUE, aby wyodrębnić nazwy baz danych, dane uwierzytelniające użytkowników i hashe haseł.
- CVE-2024-58313Wysokie
xbtitFM 4.1.18 zawiera podatność niebezpiecznego przesyłania plików, która pozwala uwierzytelnionym atakującym z uprawnieniami administracyjnymi na przesłanie i wykonanie dowolnego kodu PHP poprzez funkcję file_hosting. Atakujący mogą obejść ograniczenia typów plików, modyfikując nagłówek Content-Type na image/gif, dodając magiczne bajty GIF89a i używając alternatywnych tagów PHP do przesłania web shelli wykonujących polecenia systemowe.
Oryginalny opis (angielski, źródło NVD)
xbtitFM 4.1.18 contains a path traversal vulnerability that allows unauthenticated attackers to access sensitive system files by manipulating URL parameters. Attackers can exploit directory traversal techniques to read critical system files like using encoded path traversal characters in HTTP requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS