Plataforma
other
Componente
ltcms
Corregido en
1.0.21
Se ha identificado una vulnerabilidad crítica en ltcms, específicamente en la versión 1.0.20. Esta falla de seguridad permite la falsificación de solicitudes del lado del servidor (SSRF) a través de la manipulación de argumentos en la función multiDownload ubicada en /api/file/multiDownload. La vulnerabilidad es explotable de forma remota y ha sido divulgada públicamente, lo que aumenta el riesgo de explotación. La solución recomendada es actualizar a la versión 1.0.21.
La vulnerabilidad de SSRF en ltcms permite a un atacante realizar solicitudes a recursos internos o externos en nombre del servidor, sin la debida autorización. Esto puede resultar en la exposición de información sensible, como credenciales, claves API o datos confidenciales almacenados en sistemas internos. Un atacante podría utilizar esta vulnerabilidad para escanear la red interna en busca de otros servicios vulnerables, o para acceder a recursos restringidos. La falta de respuesta del proveedor agrava la situación, ya que no se han proporcionado recomendaciones de mitigación oficiales más allá de la actualización.
La vulnerabilidad ha sido divulgada públicamente, lo que aumenta significativamente el riesgo de explotación. No se ha confirmado la explotación activa en campañas conocidas, pero la disponibilidad de la divulgación pública facilita la creación y distribución de exploits. La falta de respuesta del proveedor es un factor de riesgo adicional. La vulnerabilidad ha sido publicada en el NVD el 2024-08-13.
Organizations utilizing ltcms version 1.0.20–1.0.20, particularly those with sensitive internal resources accessible via the API, are at significant risk. Shared hosting environments running ltcms are also vulnerable, as they may lack the ability to implement granular network controls.
disclosure
Estado del Exploit
EPSS
0.15% (35% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar ltcms a la versión 1.0.21, donde se ha corregido el problema. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la restricción del acceso a la función multiDownload a través de un firewall de aplicaciones web (WAF) o un proxy inverso. Configure el WAF para bloquear solicitudes que contengan patrones sospechosos en los argumentos de la función. Además, revise la configuración del servidor para asegurar que solo se permita el acceso a recursos internos necesarios y que se implementen políticas de seguridad estrictas.
Actualizar a una versión parcheada o deshabilitar el endpoint /api/file/multiDownload. Si no hay una versión parcheada disponible, implementar validaciones robustas en el parámetro 'file' para prevenir solicitudes a URLs no autorizadas. Monitorear el tráfico de red para detectar actividades sospechosas.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-7742 es una vulnerabilidad crítica de falsificación de solicitudes del lado del servidor (SSRF) en ltcms versiones 1.0.20–1.0.20, que permite a los atacantes realizar solicitudes a recursos internos o externos.
Si está utilizando ltcms versión 1.0.20, es vulnerable a esta vulnerabilidad. Actualice a la versión 1.0.21 para mitigar el riesgo.
La solución recomendada es actualizar ltcms a la versión 1.0.21. Si la actualización no es posible, implemente medidas de seguridad adicionales como un WAF.
Aunque no se ha confirmado la explotación activa en campañas conocidas, la divulgación pública facilita la creación y distribución de exploits, aumentando el riesgo.
Consulte el sitio web del proveedor de ltcms o el NVD (National Vulnerability Database) para obtener información oficial sobre la vulnerabilidad y la solución.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.