Vulnerabilidad en Open eClass (CVE-2024-38530)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-434 Subida sin restricciones de ficheros de tipos peligrosos

Fecha de publicación:

12/08/2024

Última modificación:

13/08/2024

Descripción

La plataforma Open eClass (anteriormente conocida como GUnet eClass) es un completo sistema de gestión de cursos. Una vulnerabilidad de carga de archivos arbitrarios en la funcionalidad "guardar" del módulo H5P permite a usuarios no autenticados cargar archivos arbitrarios en el sistema de archivos del servidor. Esto puede generar RCE sin restricciones en el servidor backend, ya que se puede acceder a la ubicación de carga desde Internet. Esta vulnerabilidad se solucionó en 3.16.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto