CVE-2024-22049
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 67 - wyżej niż 67% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece httparty przed wersją 0.21.0 umożliwia atakującemu manipulację nazwami plików podczas przesyłania danych metodą multipart/form-data. Zdalny, nieuwierzytelniony atakujący może dostarczyć spreparowany parametr filename, co prowadzi do zapisu plików o kontrolowanej przez atakującego nazwie.
Ocena ryzyka
Ryzyko polega na możliwości nadpisania istniejących plików lub zapisu złośliwych plików w systemie, co może prowadzić do eskalacji uprawnień lub uruchomienia niebezpiecznego kodu.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę httparty do wersji 0.21.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
httparty before 0.21.0 is vulnerable to an assumed-immutable web parameter vulnerability. A remote and unauthenticated attacker can provide a crafted filename parameter during multipart/form-data uploads which could result in attacker controlled filenames being written.