CVE-2024-24809 상세

#설명 Traccar는 오픈 소스 GPS 추적 시스템입니다. 6.0 이전 버전은 경로 탐색 및 위험한 유형의 파일 무제한 업로드에 취약합니다. 시스템이 기본적으로 등록을 허용하므로 공격자는 계정을 등록하여 일반 사용자 권한을 획득하고 이 취약점을 악용하여 device. 접두사가 붙은 파일을 임의 폴더에 업로드할 수 있습니다. 공격자는 이 취약점을 피싱, 크로스 사이트 스크립팅 공격에 사용할 수 있으며 잠재적으로 서버에서 임의 명령을 실행할 수 있습니다. 버전 6.0에는 이 문제에 대한 패치가 포함되어 있습니다.

#사용법

Fofa query : app="traccar"

nuclei --target {target.com} -t CVE-2024-24809.yaml

#개념 증명 (BurpSuite 사용)

POST /api/users HTTP/1.1
Host: {{Hostname}}
Content-Type: application/x-www-form-urlencoded;charset=UTF-8

{"name": "{{name}}", "email": "{{email}}", "password": "{{password}}", "totpKey": null}

#테스트 계정

name: "ghostsec"
password: "ghostsec"
email: "[email protected]"

수정 방법?

org.traccar:traccar을 버전 6.0 이상으로 업그레이드하세요.

CVE-2024-24809-Proof-of-concept

인기