CVE-2024-31450 in Owncast
Resumen
por MITRE • 2024-04-19
Owncast es un servidor de chat y transmisión de video en vivo de código abierto, autohospedado, descentralizado y de un solo usuario. La aplicación Owncast expone una API de administrador en la URL /api/admin. El endpoint emoji/eliminar de dicha API permite a los administradores eliminar emojis personalizados, que se guardan en el disco. El nombre del parámetro se toma de la solicitud JSON y se agrega directamente a la ruta del archivo que apunta al emoji que se eliminará. Al utilizar secuencias de path traversal (../), los atacantes con privilegios administrativos pueden aprovechar este endpoint para eliminar archivos arbitrarios en el sistema, fuera del directorio emoji. Esta vulnerabilidad se solucionó en 0.1.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.