平台
windows
组件
lg-simple-editor
修复版本
3.21.1
CVE-2023-40496 是 LG Simple Editor 中的目录遍历漏洞，允许远程攻击者泄露敏感信息。该漏洞源于 copyStickerContent 命令中用户提供的路径未经过充分验证。受影响的版本包括 3.21.0。目前已发布，建议用户尽快采取措施。
攻击者可以利用此漏洞访问 LG Simple Editor 服务器上的任意文件，从而泄露敏感信息，例如配置文件、源代码或其他机密数据。由于无需身份验证，攻击者可以轻易地利用此漏洞。攻击者可能通过构造恶意的文件路径来访问受保护的目录，并下载其中的文件。这种漏洞的潜在影响包括数据泄露、系统入侵以及进一步的攻击活动。虽然目前尚未观察到大规模利用，但由于漏洞的易利用性，存在被利用的风险。
该漏洞已公开披露，并被分配了 CVSS 7.5 (高) 评级。由于无需身份验证，该漏洞的利用难度较低。目前尚未观察到大规模利用，但存在被利用的风险。该漏洞与 ZDI-CAN-19923 相关。
Organizations and individuals using LG Simple Editor, particularly those with older versions (3.21.0 and prior), are at risk. Shared hosting environments where LG Simple Editor is installed are particularly vulnerable due to the lack of authentication required for exploitation.
• windows / supply-chain:
Get-Process -Name "LG Simple Editor"• windows / supply-chain:
Get-WinEvent -LogName Application -FilterXPath "*[System[Provider[@Name='LG Simple Editor']]]" -MaxEvents 10• windows / supply-chain: Check Autoruns for unusual entries related to LG Simple Editor or suspicious file paths.
disclosure
漏洞利用状态
EPSS
19.15% (95% 百分位)
CISA SSVC
CVSS 向量
目前官方尚未发布补丁。作为临时缓解措施，建议禁用 LG Simple Editor 的 copyStickerContent 功能，或者限制用户对服务器文件系统的访问权限。可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，并监控服务器日志以检测可疑活动。此外，应定期审查服务器配置，确保文件权限设置正确。在升级到官方补丁后，请验证 LG Simple Editor 的功能是否正常，并检查服务器日志以确认漏洞已修复。
Actualizar a una versión parcheada del LG Simple Editor. No hay una versión específica mencionada en el CVE, por lo que se recomienda contactar al proveedor para obtener una versión corregida o dejar de utilizar el software.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2023-40496 是 LG Simple Editor 中的一个目录遍历漏洞，允许攻击者访问服务器上的敏感文件。该漏洞影响 3.21.0 版本，无需身份验证即可利用。
如果您正在使用 LG Simple Editor 3.21.0 版本，则可能受到此漏洞的影响。请立即采取缓解措施或升级到最新版本。
目前官方尚未发布补丁。作为临时缓解措施，建议禁用 copyStickerContent 功能或限制文件系统访问权限。
虽然目前尚未观察到大规模利用，但由于漏洞的易利用性，存在被利用的风险。
请访问 LG 官方网站或 LG Simple Editor 的支持页面，查找有关此漏洞的官方公告。