CVE-2024-12641

KritischVeröffentlicht

Chunghwa Telecom TenderDocTransfer – Reflektierte Cross-Site-Scripting zu RCE

Veröffentlicht: 16.12.2024
Aktualisiert: 16.12.2024
CNA zuweisen: twcert
Beweise beobachtet: 10.08.2026

Primäres CVSS

9,6/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

1,4 %

Niedrig · nächste 30 Tage

Perzentil: 70,7 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

TenderDocTransfer von Chunghwa Telecom weist eine Reflected Cross-site Scripting-Schwachstelle auf. Die Anwendung richtet einen einfachen lokalen Webserver ein und stellt APIs für die Kommunikation mit der Zielwebsite bereit. Aufgrund des Fehlens eines CSRF-Schutzes für die APIs könnten nicht authentifizierte Remote-Angreifer über Phishing spezifische APIs nutzen, um beliebigen JavaScript-Code im Browser des Benutzers auszuführen. Da der von der Anwendung eingerichtete Webserver Node.Js-Funktionen unterstützt, können Angreifer dies weiter ausnutzen, um Betriebssystembefehle auszuführen.

Quellen

CVE-2024-12641_12642_12645PoC
Exploit-Code als Proof-of-Concept für CVE-2024-12641, CVE-2024-12642 und CVE-2024-12645 mit Demonstrationsvideos zur Schwachstellenverifizierung und Sicherheitstests.

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.