Plataforma
python
Componente
devika
Corregido en
-
Se ha identificado una vulnerabilidad de recorrido de directorios en el componente devika, específicamente en el endpoint /api/download-project-pdf del repositorio stitionai/devika. Esta falla se debe a la falta de sanitización adecuada del parámetro 'project_name', permitiendo a atacantes acceder a archivos PDF arbitrarios almacenados en el sistema. La vulnerabilidad afecta a las versiones anteriores a la última disponible y requiere atención inmediata.
Un atacante puede explotar esta vulnerabilidad manipulando el parámetro 'project_name' en una solicitud GET al endpoint vulnerable. Esto permite al atacante navegar por la estructura de directorios del sistema y descargar archivos PDF que no deberían estar accesibles. La información contenida en estos archivos PDF podría incluir datos sensibles, como informes confidenciales, información personal o datos financieros. El impacto potencial es la divulgación no autorizada de información confidencial y la posible manipulación de datos si los archivos PDF descargados son modificables.
La vulnerabilidad fue publicada el 27 de junio de 2024. No se ha confirmado explotación activa, pero la naturaleza de la vulnerabilidad de recorrido de directorios la hace fácilmente explotable. No se ha añadido a KEV ni se ha determinado una puntuación EPSS. Se recomienda monitorear la situación y aplicar las mitigaciones recomendadas.
Organizations utilizing the stitionai/devika project, particularly those deploying it in production environments without proper security hardening, are at risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as an attacker could potentially access PDF files belonging to other users.
• linux / server:
journalctl -u devika -f | grep "download_project_pdf"• generic web:
curl -I 'http://your-devika-server/api/download-project-pdf?project_name=../../../../etc/passwd' | grep 'HTTP/1.1' # Check for 403 or 200 OKdisclosure
Estado del Exploit
EPSS
1.26% (79% percentil)
CISA SSVC
Vector CVSS
Dado que no se proporciona una versión corregida, la mitigación inmediata implica restringir el acceso al endpoint /api/download-project-pdf. Implemente reglas en un firewall de aplicaciones web (WAF) o un proxy para bloquear solicitudes con caracteres sospechosos en el parámetro 'project_name', como '..' o '/'. Revise la configuración del servidor web para asegurar que el directorio raíz del sitio web esté correctamente configurado y que no se permita el acceso directo a archivos fuera del directorio previsto. Monitoree los registros del servidor web en busca de intentos de acceso no autorizados al endpoint vulnerable.
Actualice la biblioteca devika a la última versión disponible. Esto solucionará la vulnerabilidad de path traversal. Asegúrese de validar y sanitizar correctamente las entradas del usuario, especialmente el parámetro 'project_name', para evitar el acceso no autorizado a archivos.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-5547 is a Directory Traversal vulnerability in the stitionai/devika project's /api/download-project-pdf endpoint, allowing attackers to download arbitrary PDF files.
If you are using the latest version of stitionai/devika and have not implemented mitigating controls, you are potentially affected by this vulnerability.
Currently, no official fix is available. Mitigate by implementing strict input validation, WAF rules, and restricting file system permissions.
While no active exploitation has been confirmed, the ease of exploitation suggests a potential for rapid exploitation.
Check the stitionai/devika repository and related communication channels for updates and advisories regarding CVE-2024-5547.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo requirements.txt y te decimos al instante si estás afectado.