CVE-2024-48914 in vendure
Riassunto
di VulDB • 25/06/2026
Vendure è una piattaforma di commercio headless open-source. Prima delle versioni 3.0.5 e 2.3.3, un bug nel plugin del server asset di Vendure consentiva a un attaccante di elaborare una richiesta in grado di attraversare il file system del server ed recuperare i contenuti di file arbitrari, inclusi dati sensibili come file di configurazione, variabili d'ambiente e altri dati critici memorizzati sul server. Nello stesso percorso di codice è presente un vettore aggiuntivo per causare l'interruzione del server tramite un URI non valido. Sono disponibili patch nelle versioni 3.0.5 e 2.3.3. Sono inoltre disponibili alcune contromisure. È possibile utilizzare lo storage oggetti anziché il file system locale, ad esempio MinIO o S3, oppure definire middleware che rilevi e blocchi le richieste con URL contenenti `/../`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.