Vulnerabilidad en Crafatar (CVE-2024-24756)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

01/02/2024

Última modificación:

09/02/2024

Descripción

Crafatar ofrece avatares de Minecraft basados en la apariencia para su uso en aplicaciones externas. Los archivos fuera del directorio `lib/public/` se pueden solicitar desde el servidor. Las instancias que se ejecutan detrás de Cloudflare (incluido crafatar.com) no se ven afectadas. Las instancias que utilizan el contenedor Docker como se muestra en el archivo README se ven afectadas, pero solo se pueden leer los archivos dentro del contenedor. De forma predeterminada, todos los archivos del contenedor también se pueden encontrar en este repositorio y no son confidenciales. Esta vulnerabilidad está parcheada en 2.1.5.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno