CVE-2024-52292 是 Craft CMS 中发现的一个操作系统文件读取漏洞。攻击者可以通过滥用系统通知模板中的 dataUrl 函数，读取服务器上的任意文件，从而可能泄露敏感信息。该漏洞影响 Craft CMS 5.4.8 及更早版本。已发布补丁版本 5.4.9，建议立即升级。
该漏洞允许攻击者通过构造恶意的系统通知模板，利用 Craft CMS 的 dataUrl 函数读取服务器上的任意文件。攻击者无需身份验证即可执行此操作，只要他们拥有对系统通知模板的写入权限。成功利用该漏洞可能导致敏感信息泄露，例如配置文件、数据库凭证、源代码等。攻击者还可以利用读取到的文件信息进一步进行横向移动，攻击其他系统或服务。由于该漏洞允许读取任意文件，其潜在影响范围非常广泛，可能导致严重的业务中断和数据泄露。
该漏洞已公开披露，并存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，攻击者可能会积极寻找并利用该漏洞。建议密切关注安全社区的动态，及时获取最新的威胁情报。该漏洞的严重程度被评为高，应尽快采取缓解措施。
Organizations using Craft CMS in environments where system notification templates are writable by untrusted users are at significant risk. This includes development environments, shared hosting environments, and deployments with overly permissive file permissions. Sites relying on Craft CMS for sensitive data processing or storage are particularly vulnerable.
• php / server:
find /path/to/craft/templates -name '*notification.php*' -print0 | xargs -0 grep -i 'dataUrl\(' • php / server:
journalctl -u php-fpm -f | grep -i "dataUrl"• generic web: Inspect system notification email content for Base64-encoded strings that might represent file contents.
disclosure
漏洞利用状态
EPSS
0.32% (55% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级至 Craft CMS 5.4.9 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制对系统通知模板的写入权限，只允许授权用户进行修改。审查现有的系统通知模板，确保其中不包含任何可疑的代码。实施 Web 应用防火墙 (WAF) 规则，阻止包含恶意 dataUrl 函数调用的请求。监控系统日志，检测任何异常的文件读取活动。
Actualice Craft CMS a la versión 5.4.9 o superior, o a la versión 4.12.8 o superior. Esto corrige la vulnerabilidad que permite la lectura de archivos arbitrarios. La actualización se puede realizar a través del panel de control de Craft CMS o mediante Composer.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-52292 是 Craft CMS 5.4.8 及更早版本中发现的一个操作系统文件读取漏洞，攻击者可以通过滥用邮件通知模板读取服务器上的任意文件。
如果您正在使用 Craft CMS 5.4.8 或更早版本，则可能受到此漏洞的影响。请立即检查您的版本并升级。
升级至 Craft CMS 5.4.9 或更高版本是修复此漏洞的最佳方法。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，攻击者可能会积极寻找并利用该漏洞。
请访问 Craft CMS 官方网站或安全公告页面，查找有关 CVE-2024-52292 的详细信息和补丁说明。