CVE-2024-48914
严重已发布
Vendure 资产服务器插件存在本地文件读取漏洞，涉及 AssetServerPlugin 与 LocalAssetStorageStrategy
- 已发布
- 2024年10月15日
- 已更新
- 2024年10月15日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月5日
初级CVSS
9.1/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H60.4%
高 · 未来 30 天
- 百分位
- 99.1%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Vendure 是一个开源的无头电商平台。在 3.0.5 和 2.3.3 版本之前，Vendure 的 asset server 插件中存在一个漏洞，攻击者可以构造一个请求，遍历服务器文件系统并检索任意文件的内容，包括配置文件、环境变量以及存储在服务器上的其他关键数据等敏感信息。在同一代码路径中，还存在另一个攻击向量，可通过格式错误的 URI 使服务器崩溃。3.0.5 和 2.3.3 版本中提供了补丁。此外，还有一些可用的规避方案。可以使用对象存储（例如 MinIO 或 S3）替代本地文件系统，或者定义中间件来检测并阻止包含 `/../` 的 URL 请求。
来源
1- CVE-2024-48914漏洞利用
vendure-ecommerce 漏洞利用中的任意文件读取与 DoS
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。