Vulnerabilidad en Dumb Drop (CVE-2025-24891)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

31/01/2025

Última modificación:

31/01/2025

Descripción

Dumb Drop es una aplicación de carga de archivos. Los usuarios con permiso para cargar archivos en el servicio pueden explotar una vulnerabilidad Path Traversal para sobrescribir archivos sistema arbitrarios. Como el contenedor se ejecuta como superusuario de forma predeterminada, no hay límite para lo que se puede sobrescribir. Con esto, es posible inyectar payloads maliciosos en archivos que se ejecutan según lo programado o en determinadas acciones del servicio. Como no se requiere que el servicio se ejecute con la autenticación habilitada, esto puede permitir el acceso superusuario a usuarios totalmente sin privilegios. De lo contrario, cualquier persona con un PIN.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.60 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.60

Gravedad 3.x

CRÍTICA

Vulnerabilidad en Dumb Drop (CVE-2025-24891)

Descripción

Impacto

Referencias a soluciones, herramientas e información