CVE-2024-48914 in vendure
Résumé
par VulDB • 25/06/2026
Vendure est une plateforme de commerce électronique headless open-source. Avant les versions 3.0.5 et 2.3.3, une vulnérabilité dans le plugin du serveur d'actifs (asset server) de Vendure permet à un attaquant de fabriquer une requête capable de traverser le système de fichiers du serveur et de récupérer le contenu de fichiers arbitraires, y compris des données sensibles telles que les fichiers de configuration, les variables d'environnement et d'autres données critiques stockées sur le serveur. Dans le même chemin d'exécution (code path), il existe un vecteur supplémentaire permettant de faire planter le serveur via une URI malformée. Des correctifs sont disponibles dans les versions 3.0.5 et 2.3.3. Certaines solutions de contournement sont également disponibles. Il est possible d'utiliser du stockage objet plutôt que le système de fichiers local, par exemple MinIO ou S3, ou de définir un middleware qui détecte et bloque les requêtes dont les URLs contiennent `/../`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.