Каталог уязвимостей Сканер-ВС

Вернуться к списку

CVE-2024-3408

Оценки

EPSS

0.917высокий91.7%
0%20%40%60%80%100%

Процентиль: 91.7%

CVSS

9.8критический3.x
0246810

Оценка CVSS: 9.8/10

Все оценки CVSS

CVSS 3.x
9.8

Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Описание

man-group/dtale версии 3.10.0 уязвим для обхода аутентификации и удаленного выполнения кода (RCE) из-за неправильной проверки входных данных. Уязвимость возникает из-за жестко запрограммированного SECRET_KEY в конфигурации flask, что позволяет злоумышленникам подделывать cookie сеанса, если аутентификация включена. Кроме того, приложение не может должным образом ограничить пользовательские запросы фильтров, позволяя злоумышленникам выполнять произвольный код на сервере, обходя ограничение на конечной точке /update-settings, даже если enable_custom_filters не включен. Эта уязвимость позволяет злоумышленникам обходить механизмы аутентификации и выполнять удаленный код на сервере.

Сканер-ВС 7 — современное решение для управления уязвимостями

Использует эту базу данных для обнаружения уязвимостей. Высокая скорость поиска, кроссплатформенность, продвинутый аудит конфигурации и гибкая фильтрация. Подходит для организаций любого масштаба.
Подробнее о Сканер-ВС 7

Источники

nvd

CWE

CWE-798

Связанные уязвимости

BDU:2025-06481

Эксплойты

ID эксплойта: CVE-2024-3408

Источник: github-poc

URL: https://github.com/flame-11/CVE-2024-3408-dtale

Уязвимое ПО (1)

Тип: Конфигурация

Поставщик: *

Продукт: d-tale

Операционная система: * * *

Характеристика: 
{  "cpe_match": [    {      "cpe23uri": "cpe:2.3:a:man:d-tale:3.10.0:*:*:*:*:*:*:*",      "vulnerable": true    }  ],  "operator": "OR"}

Источник: nvd

Конец списка