cym1102 nginxWebUI 重新加载执行反序列化 (CVE-2024-3740)

CVE编号

CVE-2024-3740

利用情况

暂无

补丁情况

N/A

披露时间

2024-04-14

漏洞描述

发现了一个被归类为关键的漏洞，存在于cym1102 nginxWebUI版本3.9.9及之前的版本中。该问题影响了文件/adminPage/conf/reload的exec函数。对参数nginxExe的操纵导致了反序列化。攻击可能通过远程发起。漏洞已被披露给公众并可能被利用。此漏洞的关联标识符是VDB-260579。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/cym1102/nginxWebUI/files/14818455/nginxwebui.rce.3.9.9.pdf
https://github.com/cym1102/nginxWebUI/issues/138
https://vuldb.com/?ctiid.260579
https://vuldb.com/?id.260579
https://vuldb.com/?submit.311216

CVSS3评分 6.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 低
• 保密性 低
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

CWE-ID	漏洞类型
CWE-502	可信数据的反序列化

Exp相关链接

- avd.aliyun.com