Platform
vue
Component
gin-vue-admin
Opgelost in
0.0.1
CVE-2024-31457 beschrijft een code injectie kwetsbaarheid in gin-vue-admin, een backend management systeem gebaseerd op Vue en Gin. Deze kwetsbaarheid maakt directory traversal mogelijk, waardoor een aanvaller potentieel schadelijke code kan uitvoeren. De kwetsbaarheid treedt op in versies van gin-vue-admin tot en met 0.0.0-20240409100909-b1b7427c6ea6. Een patch is beschikbaar in versie 0.0.0-20240409100909-b1b7427c6ea6.
Een succesvolle exploitatie van CVE-2024-31457 stelt een aanvaller in staat om directory traversal uit te voeren binnen het Plugin System -> Plugin Template onderdeel van gin-vue-admin. Door de plugName parameter te manipuleren, kan de aanvaller willekeurige mappen aanmaken, zoals api, config, global, model, router, service en main.go. Vervolgens kunnen Go-bestanden binnen deze mappen worden geplaatst, waardoor de aanvaller potentieel de controle over de applicatie kan overnemen. Dit kan leiden tot ongeautoriseerde toegang tot gevoelige gegevens, wijziging van applicatieconfiguraties en zelfs volledige overname van het systeem. De impact is vergelijkbaar met scenario's waarin een aanvaller de mogelijkheid heeft om willekeurige code uit te voeren binnen een webapplicatie.
Op dit moment is er geen informatie beschikbaar over actieve exploits die gebruik maken van CVE-2024-31457. Er zijn ook geen publieke proof-of-concept exploits bekend. De kwetsbaarheid is openbaar gemaakt op 9 april 2024. De ernst van de kwetsbaarheid is beoordeeld als HIGH (CVSS 7.7). Het is aan te raden om de kwetsbaarheid serieus te nemen en de aanbevolen mitigatiemaatregelen te implementeren.
Organizations using gin-vue-admin for their backend management systems are at risk, particularly those running older, unpatched versions. Shared hosting environments where multiple users have access to the plugin management features are especially vulnerable, as a compromised plugin could affect the entire hosting instance. Any deployment relying on the default plugin template functionality without proper input validation is also at increased risk.
• linux / server:
find /opt/gin-vue-admin/plugins/ -name '*api*.go' -o -name '*config*.go' -o -name '*global*.go' -o -name '*model*.go' -o -name '*router*.go' -o -name '*service*.go' -o -name '*main.go*' 2>/dev/null• generic web:
curl -I 'http://your-gin-vue-admin-instance/plugins/api/some..directory.go' # Check for 403 or other error indicating traversal is blockeddisclosure
patch
Exploit Status
EPSS
0.33% (56% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2024-31457 is het upgraden naar de versie 0.0.0-20240409100909-b1b7427c6ea6, waarin de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) of proxy om de plugName parameter te valideren en directory traversal te voorkomen. Controleer de configuratie van de plugin template functionaliteit om te zorgen dat er geen onbevoegde mappen worden aangemaakt. Het is cruciaal om de input van gebruikers te valideren en te saneren om te voorkomen dat kwaadaardige code wordt uitgevoerd. Na de upgrade, verifieer de fix door te proberen een directory traversal aan te vragen via de Plugin System -> Plugin Template functionaliteit. De aanvraag zou moeten worden afgewezen.
Actualice gin-vue-admin a la versión 0.0.0-20240409100909-b1b7427c6ea6 o posterior. Como alternativa, implemente manualmente el método de filtrado disponible en el GitHub Security Advisory para corregir el problema de directory traversal. Esto evitará la inyección de código arbitrario a través del parámetro `plugName`.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-31457 is a code injection vulnerability in gin-vue-admin, allowing attackers to perform directory traversal and potentially execute arbitrary code.
You are affected if you are using gin-vue-admin versions ≤ 0.0.0-20240409100909-b1b7427c6ea6.
Upgrade to version 0.0.0-20240409100909-b1b7427c6ea6 or later. Implement input validation and restrict access to the plugin management feature as temporary mitigations.
There is currently no confirmed active exploitation, but the vulnerability's nature makes it a potential target.
Refer to the gin-vue-admin project's repository or website for the official advisory and release notes.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.