Vulnerabilidad en Admidio (CVE-2024-38529)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-434 Subida sin restricciones de ficheros de tipos peligrosos

Fecha de publicación:

29/07/2024

Última modificación:

29/07/2024

Descripción

Admidio es un sistema de gestión de usuarios gratuito y de código abierto para sitios web de organizaciones y grupos. En Admidio anterior a la versión 4.3.10, hay una vulnerabilidad de ejecución remota de código en el módulo de mensajes de la aplicación Admidio, donde es posible cargar un archivo PHP en el archivo adjunto. Se puede acceder públicamente al archivo subido a través de la URL `{admidio_base_url}/adm_my_files/messages_attachments/{file_name}`. La vulnerabilidad se debe a la falta de verificación de la extensión del archivo, lo que permite cargar archivos maliciosos en el servidor y la disponibilidad pública del archivo cargado. Esta vulnerabilidad se solucionó en 4.3.10.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.00 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.00

Gravedad 3.x

CRÍTICA

Vulnerabilidad en Admidio (CVE-2024-38529)

Descripción

Impacto

Referencias a soluciones, herramientas e información