CVE-2024-4406

CritiquePublié

Vulnérabilité de Cross-Site Scripting et d'exécution de code à distance dans GetApps integral-dialog-page de Xiaomi Pro 13

Publié: 2 mai 2024
Mise à jour: 1 août 2024
Attribution de CNA: zdi
Preuve observée: 8 août 2026

CVSS primaire

9,6/ 10Critique

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Estimation de probabilité EPSS

2,2 %

Faible · 30 prochains jours

Percentile: 81,8 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

Vulnérabilité d'exécution de code à distance par Cross-Site Scripting dans la page integral-dialog-page de GetApps sur Xiaomi Pro 13. Cette vulnérabilité permet à des attaquants distants d'exécuter du code arbitraire sur les installations concernées des smartphones Xiaomi Pro 13. Une interaction de l'utilisateur est requise pour exploiter cette vulnérabilité, car la cible doit visiter une page malveillante ou ouvrir un fichier malveillant. Le défaut spécifique existe dans le fichier integral-dialog-page.html. Lors de l'analyse du paramètre integralInfo, le processus ne neutralise pas correctement les données fournies par l'utilisateur, ce qui peut conduire à l'injection d'un script arbitraire. Un attaquant peut tirer parti de cette vulnérabilité pour exécuter du code dans le contexte de l'utilisateur actuel. Cette vulnérabilité était référencée ZDI-CAN-22332.

Sources

cve-2024-4406-xiaomi13pro-exploit-filesExploit
Fichiers liés à l'exploit Pwn2Own Toronto 2023 contre le Xiaomi 13 Pro.

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.