CVE-2024-7342
Acerca de
Se encontró una vulnerabilidad en Baidu UEditor 1.4.3.3. Ha sido clasificada como problemática. Esto afecta a una parte desconocida del archivo /ueditor/php/controller.php?action=uploadfile&encode=utf-8. La manipulación del argumento upfile conduce a carga sin restricciones. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. Se asignó el identificador VDB-273273 a esta vulnerabilidad. NOTA: El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Análisis del analista Rainforest
Este problema de Baidu UEditor es una carga de archivos sin restricciones a través del controlador de carga PHP del editor, pero la puntuación cuenta la verdadera historia: está calificado como bajo, necesita autenticación, necesita interacción del usuario y su único impacto es un efecto limitado de disponibilidad. Eso está muy lejos de los bugs de carga-a-shell de otras partes de este lote; la ruta aquí no se traduce en ejecución de código ni pérdida de datos.
UEditor es viejo y en gran medida sin mantenimiento, y existe un exploit público con el proveedor sin responder, así que el fallo no se parcheará aguas arriba. Pero las precondiciones apiladas y el bajo impacto mantienen esto fuera del carril de explotación masiva: no es el tipo de carga no autenticada y de alto impacto que las botnets automatizan, y sus consecuencias son menores incluso cuando se dispara.
La clasificamos cerca del fondo y la tratamos como higiene de componentes heredados. El movimiento significativo es saber si este editor envejecido está incrustado en algún lugar de nuestra pila en absoluto, porque los componentes de terceros sin mantenimiento son el riesgo duradero aquí, no este bug específico de baja severidad. Donde aparezca UEditor, la respuesta es planificar su reemplazo en lugar de montar cualquier respuesta urgente a este CVE particular.
Referencias
CVEs Relacionadas
Preguntas frecuentes
¿Qué es CVE-2024-7342?
Se encontró una vulnerabilidad en Baidu UEditor 1.4.3.3. Ha sido clasificada como problemática. Esto afecta a una parte desconocida del archivo /ueditor/php/controller.php?action=uploadfile&encode=utf-8. La manipulación del argumento upfile conduce a carga sin restricciones. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse.
¿Qué tan grave es CVE-2024-7342?
CVE-2024-7342 tiene una puntuación base CVSS 3.1 de 3.5, calificada como low. En el Rainforest Risk Index — que pondera la gravedad junto con lo fácil que es alcanzar la falla y la amplitud de su impacto — obtiene 40 sobre 100, en la banda moderado.
¿Cómo se explota CVE-2024-7342?
Según el vector CVSS (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L): vector de ataque Red, complejidad de ataque Baja, privilegios necesarios Bajo, interacción del usuario Requerida. Impacto en confidencialidad Ninguno, integridad Ninguno y disponibilidad Bajo.
¿Qué productos afecta CVE-2024-7342?
Los avisos públicos listan como afectados: ueditor. Consulta las referencias de esta página para las versiones exactas que confirma cada proveedor.
¿Cómo se corrige CVE-2024-7342?
Aplica la corrección publicada por el proveedor — las referencias de esta página enlazan a los avisos y parches originales. Cuando no se pueda parchear de inmediato, reduce la exposición del componente afectado y vigila los intentos de explotación. Los clientes de Rainforest ven esta vulnerabilidad correlacionada con sus propios activos y priorizada por la exposición real, no solo por la puntuación.
Potencia tu estrategia de seguridad con Rainforest
Descubre vulnerabilidades a tiempo, prioriza amenazas críticas y protege lo que realmente importa. Rainforest simplifica tus operaciones de seguridad, ahorrando tiempo y reduciendo costos, para que te enfoques en lo que impulsa tu negocio.