CVE-2024-40324

Descripción

Una vulnerabilidad de inyección CRLF en E-Staff v5.1 permite a los atacantes insertar caracteres de Retorno de Carro (CR) y de Avance de Línea (LF) en los campos de entrada, lo que provoca la división de la respuesta HTTP y la manipulación de cabeceras.

Tipo de vulnerabilidad

CRLF

Proveedor del producto

E-Staff

Base de código del producto afectado

E-Staff 5.1

Componente afectado

Cabeceras HTTP

Tipo de ataque

Remoto

Impacto: Ejecución de código

Potencial para inyección arbitraria de cabeceras, envenenamiento de caché, secuestro de sesión, cross-site scripting (XSS), y otros exploits.

Descubridor

• Aleksey Vistorobskiy

Vectores de ataque

Un atacante puede insertar caracteres CRLF en los campos de entrada, manipulando las cabeceras HTTP. Por ejemplo, inyectar CRLF en las cabeceras HTTP puede provocar la división de la respuesta HTTP

Captura de pantalla:

Referencia

• https://e-staff.ru/estaff_home
• https://github.com/aleksey-vi/CVE-2024-40324