CVE-2024-38474
Debilidad del servidor HTTP Apache con signos de interrogación codificados en referencias inversas
- Publicado
- 1 jul 2024
- Actualizado
- 25 mar 2025
- Asignación de CNA
- apache
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 83,6 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El problema de codificación de sustitución en mod_rewrite en Apache HTTP Server 2.4.59 y versiones anteriores permite al atacante ejecutar scripts en directorios permitidos por la configuración pero a los que no se puede acceder directamente mediante ninguna URL o divulgación de fuente de scripts destinados a ejecutarse únicamente como CGI. Se recomienda a los usuarios actualizar a la versión 2.4.60, que soluciona este problema. Algunas RewriteRules que capturan y sustituyen de forma insegura ahora fallarán a menos que se especifique el indicador de reescritura "UnsafeAllow3F".
Fuentes
1Herramienta de prueba de vulnerabilidades del servidor HTTP Apache | PoC para CVE-2024-38472 , CVE-2024-39573 , CVE-2024-38477 , CVE-2024-38476 , CVE-2024-38475 , CVE-2024-38474 , CVE-2024-38473 , CVE-2023-38709
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.