Opis podatności

CERT Polska w ramach badań własnych znalazł podatność w otwartoźródłowym oprogramowaniu CRUDDIY i koordynował proces ujawniania informacji.

Podatność CVE-2024-4748 pozwala na wstrzyknięcie komend powłoki poprzez wysłanie specjalnie utworzonego w tym celu żądania POST do serwera aplikacyjnego. Ryzyko wykorzystania podatności jest ograniczone, ponieważ instancje projektu CRUDDIY nie powinny być publicznie dostępne w Internecie. Niemniej jednak jeśli użytkownik, który posiadałby serwer uruchomiony lokalnie, odwiedziłby stronę z zaszytym skryptem wysyłającym żądanie do serwera, to mógłby zostać ofiarą skutecznego ataku.

Ponieważ podatność nie została uznana przez autorów za istotną, projekt nie otrzymał łatki usuwającej tę słabość. Ostatnią testowaną wersją była 202312.1, jednakże nowsze wersje również mogą być podatne.