Haven IndieAuthClient 中的远程代码执行 (GHSL-2024-093) (CVE-2024-39906)

CVE编号

CVE-2024-39906

利用情况

暂无

补丁情况

N/A

披露时间

2024-07-20

漏洞描述

在基于Ruby on Rails的Haven博客Web应用程序的IndieAuth功能中发现了一个命令注入漏洞。受影响的功能需要身份验证，但攻击者可以制作一个链接并将其传递给已登录的博客软件管理员。当经过身份验证的管理员访问链接时，将立即执行提供的命令。这个问题可能导致远程代码执行（RCE），并且已通过提交`c52f07c`进行了修复。建议用户进行升级。对于此漏洞，没有已知的解决方法。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/havenweb/haven/commit/c52f07c
https://github.com/havenweb/haven/security/advisories/GHSA-65cm-7g24-hm9f

CVSS3评分 8.3

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com