CVE-2024-39943
rejetto HFS (également connu sous le nom de HTTP File Server) 3 avant 0.52.10 sur Linux, UNIX et macOS permet l'exécution de commandes système par des...
- Publié
- 4 juil. 2024
- Mise à jour
- 2 août 2024
- Attribution de CNA
- mitre
- Preuve observée
- 5 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HModéré · 30 prochains jours
- Percentile
- 98,6 %
- Date du modèle
- 21 sept. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
rejetto HFS (également connu sous le nom de HTTP File Server) 3 avant 0.52.10 sur Linux, UNIX et macOS permet l'exécution de commandes système par des utilisateurs distants authentifiés (s'ils disposent des autorisations de téléversement). Cela se produit car un shell est utilisé pour exécuter df (c'est-à-dire avec execSync au lieu de spawnSync dans child_process sous Node.js).
Sources
2CVE-2024-39943 rejetto HFS (alias HTTP File Server) 3 avant 0.52.10 sur Linux, UNIX et macOS permet l'exécution de commandes OS par des utilisateurs distants authentifiés (s'ils ont des autorisations de téléversement). Cela se produit car un shell est utilisé pour exécuter df (c'est-à-dire avec execSync au lieu de spawnSync dans child_process dans Node.js).
Exploit de preuve de concept pour CVE-2024-39943, démontrant l'exécution de code à distance via le téléchargement de fichier dans un serveur HFS Node.js en utilisant child_process.execSync().
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.