CVE-2024-12642
Chunghwa Telecom TenderDocTransfer – Beliebiger Datei-Schreibzugriff
- Veröffentlicht
- 16.12.2024
- Aktualisiert
- 16.12.2024
- CNA zuweisen
- twcert
- Beweise beobachtet
- 29.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 29,2 %
- Modelldatum
- 21.09.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
TenderDocTransfer von Chunghwa Telecom weist eine Schwachstelle für beliebiges Schreiben von Dateien auf. Die Anwendung richtet einen einfachen lokalen Webserver ein und stellt APIs für die Kommunikation mit der Zielwebsite bereit. Aufgrund des Fehlens eines CSRF-Schutzes für die APIs könnten nicht authentifizierte Remote-Angreifer diese APIs über Phishing nutzen. Darüber hinaus enthält eine der APIs eine Schwachstelle für relativen Pfad-Traversal, die es Angreifern ermöglicht, beliebige Dateien an beliebige Pfade auf dem System des Benutzers zu schreiben.
Quellen
1Exploit-Code als Proof-of-Concept für CVE-2024-12641, CVE-2024-12642 und CVE-2024-12645 mit Demonstrationsvideos zur Schwachstellenverifizierung und Sicherheitstests.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.