CVE-2024-48248
ثغرة اجتياز المسار المطلق في NAKIVO Backup and Replication
- تم النشر
- 04/03/2025
- محدث
- 21/10/2025
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 19/03/2025
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:Nمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.9%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
CISA معروف باستغلاله
يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.
ملخص
NAKIVO Backup & Replication قبل الإصدار 11.0.0.88174 يسمح باجتياز المسار المطلق لقراءة الملفات عبر getImageByPath إلى /c/router (قد يؤدي هذا إلى تنفيذ تعليمات برمجية عن بُعد عبر المؤسسة لأن PhysicalDiscovery يحتوي على بيانات اعتماد بنص واضح).
المصادر
http/cves/2024/CVE-2024-48248.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
إثبات مفهوم لاستغلال CVE-2024-48248، يوضح قراءة ملفات تعسفية دون مصادقة في حل NAKIVO للنسخ الاحتياطي والتكرار. يتضمن سكربت Python لاختبار الإصدارات المتأثرة.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.