Vulnerabilidad en ClipBucket V5 (CVE-2024-54135)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-502
Deserialización de datos no confiables
Fecha de publicación:
06/12/2024
Última modificación:
06/12/2024
Descripción
ClipBucket V5 ofrece alojamiento de vídeo de código abierto con PHP. Las versiones 2.0 a 5.5.1 de ClipBucket-v5, revisión 199, son vulnerables a la vulnerabilidad de deserialización de PHP. La vulnerabilidad existe en upload/photo_upload.php dentro de la función decode_key. Las entradas del usuario se suministraban a esta función sin sanitización a través del parámetro GET de recopilación y el parámetro POST de photoIDS respectivamente. La función decode_key invoca la función de deserialización de PHP definida en upload/includes/classes/photos.class.php. Como resultado, es posible que un adversario inyecte un objeto serializado PHP manipulado con fines malintencionados y utilice cadenas de gadgets para provocar comportamientos inesperados en la aplicación. Esta vulnerabilidad se ha corregido en la versión 5.5.1, revisión 200.
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA