Vulnerabilidad en CasaOS-UserService (CVE-2024-24765)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

06/03/2024

Última modificación:

26/02/2025

Descripción

CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. Antes de la versión 0.4.7, el filtrado de rutas de la URL para los archivos de imágenes de avatar de usuario no era estricto, lo que hacía posible obtener cualquier archivo en el sistema. Esto podría permitir que un actor no autorizado acceda, por ejemplo, a la base de datos de usuarios de CasaOS y posiblemente obtenga privilegios de raíz del sistema. La versión 0.4.7 soluciona este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno