CVE-2024-57968

CVSS 9.9 CRITICALEPSS 30.3%● KEVCWE-434

Vexday Risk Score

70Prioridad alta

Decisión SSVC (CISA)

Act

Explotación + impacto → acción inmediata

CVSS 9.9EPSS 30.3%KEV simPoC —Nuclei —Metasploit —Patch —

Ciclo de vida

03 feb 2025Publicada en NVD

10 mar 2025Explotación activa (CISA KEV)

Recomendación: Corregir cuanto antes — hay explotación activa confirmada.

En resumen

Advantive VeraCore anterior a la versión 2024.4.2.1 permite que usuarios autenticados carguen archivos en cualquier carpeta del servidor, incluidas las accesibles a otros usuarios en la web. Un atacante con acceso válido puede colocar archivos maliciosos donde otros puedan encontrarlos.

Detalle técnico

Una vulnerabilidad de path traversal en upload.aspx permite que usuarios autenticados especifiquen directorios arbitrarios durante la carga de archivos. Un atacante con credenciales válidas puede subir archivos fuera de los directorios permitidos, alcanzando potencialmente carpetas accesibles públicamente para ejecutar código arbitrario o distribuir malware.

Resumen generado y traducido por IA a partir de la descripción oficial.

Advantive VeraCore before 2024.4.2.1 allows remote authenticated users to upload files to unintended folders (e.g., ones that are accessible during web browsing by other users). upload.aspx can be used for this.

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Productos afectados

Advantive · VeraCore

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://advantive.my.site.com/support/s/article/VeraCore-Release-Notes-2024-4-2-1 https://intezer.com/blog/research/xe-group-exploiting-zero-days/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-57968 https://www.solissecurity.com/en-us/insights/xe-group-from-credit-card-skimming-to-exploiting-zero-days/