Plataforma
windows
Componente
lg-simple-editor
Corrigido em
3.21.1
Uma vulnerabilidade de Directory Traversal foi descoberta no LG Simple Editor, permitindo que atacantes remotos divulguem informações sensíveis. A falha reside na função copyStickerContent, que não valida adequadamente os caminhos fornecidos pelo usuário. Essa vulnerabilidade afeta a versão 3.21.0 e anteriores do LG Simple Editor, e a correção foi publicada em 2024-05-03.
Um atacante pode explorar essa vulnerabilidade para acessar arquivos e diretórios confidenciais no sistema, potencialmente expondo dados sensíveis como senhas, chaves de criptografia ou informações de configuração. A falta de autenticação necessária para a exploração aumenta significativamente o risco, permitindo que qualquer usuário remoto acesse esses recursos. O impacto pode ser ampliado se o sistema LG Simple Editor tiver acesso a outros recursos de rede, permitindo que o atacante use a vulnerabilidade como ponto de partida para ataques mais amplos e comprometer outros sistemas.
A vulnerabilidade foi divulgada em 2024-05-03. Não há informações disponíveis sobre exploração ativa ou inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de um ID ZDI (ZDI-CAN-19923) sugere que a vulnerabilidade foi relatada e analisada por pesquisadores de segurança antes da divulgação pública.
Organizations and individuals using LG Simple Editor, particularly those with older versions (3.21.0 and prior), are at risk. Shared hosting environments where LG Simple Editor is installed are particularly vulnerable due to the lack of authentication required for exploitation.
• windows / supply-chain:
Get-Process -Name "LG Simple Editor"• windows / supply-chain:
Get-WinEvent -LogName Application -FilterXPath "*[System[Provider[@Name='LG Simple Editor']]]" -MaxEvents 10• windows / supply-chain: Check Autoruns for unusual entries related to LG Simple Editor or suspicious file paths.
disclosure
Status do Exploit
EPSS
19.15% (percentil 95%)
CISA SSVC
Vetor CVSS
A mitigação imediata envolve a atualização para a versão corrigida do LG Simple Editor assim que estiver disponível. Enquanto isso, considere implementar controles de acesso mais rigorosos para restringir o acesso a arquivos e diretórios sensíveis. Implementar regras em um Web Application Firewall (WAF) para bloquear solicitações que contenham caracteres especiais ou caminhos suspeitos pode ajudar a mitigar o risco. Monitore os logs do sistema em busca de tentativas de acesso não autorizado a arquivos e diretórios.
Actualizar a una versión parcheada del LG Simple Editor. No hay una versión específica mencionada en el CVE, por lo que se recomienda contactar al proveedor para obtener una versión corregida o dejar de utilizar el software.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2023-40496 is a directory traversal vulnerability in LG Simple Editor versions 3.21.0 and earlier, allowing attackers to disclose sensitive files.
You are affected if you are using LG Simple Editor version 3.21.0 or an earlier version. Check LG's security advisories for the latest version.
Upgrade to a patched version of LG Simple Editor. Consult LG's security advisories for the latest release and installation instructions.
While no active campaigns have been confirmed, the vulnerability's ease of exploitation makes it a potential target for attackers.
Refer to LG's official security advisories and support website for information regarding CVE-2023-40496 and available patches.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.