BDU:2024-01296

Опубликовано: 25 янв. 2024

Источник: fstec

CVSS3: 5.5

CVSS2: 4.9

EPSS Низкий

Описание

Уязвимость официального образа для использования при разработке контейнерных приложений Plone Docker связана с отсутсвием механизма предотвращения непреднамеренных изменений ресурса при обработке запросов. Эксплуатация уязвимости может позволить нарушителю получить доступ на изменение или удаление файлов с помощью методов PUT и DELETE

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Plone

Версия ПО

5.2.13 (5221) (Plone)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- ограничение доступа к HTTP PUT и DELETE методам через настройку прав доступа и авторизации;

- мониторинг и анализ сетевого трафика для обнаружения подозрительной активности;

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству;

- мониторинг действий пользователей.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-23756
CVE

EPSS

Процентиль: 44%

0.00216

Низкий

5.5 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVE-2024-23756

CVSS3: 7.5

nvd

почти 2 года назад

The HTTP PUT and DELETE methods are enabled in the Plone official Docker version 5.2.13 (5221), allowing unauthenticated attackers to execute dangerous actions such as uploading files to the server or deleting them.

GHSA-v3f3-6g4p-2h35