CVE-2024-11680criticalbajo ataqueCWE-306

CVE-2024-11680: fallo crítico en ProjectSend

ProjectSend Unauthenticated Configuration Modification

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ProjectSend

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 92%
de la publicación al arma8 días
Publicada en NVD26 nov
1ª PoC+8d
metasploit19 jul
CISA KEV+7d
Acción exigida por CISAplazo federal: 2024-12-24

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

ProjectSend anterior a la versión r1720 permite que cualquier persona en internet modifique la configuración de la aplicación sin iniciar sesión. Los atacantes pueden crear cuentas falsas, cargar archivos maliciosos e inyectar código dañino en el sitio web.

Detalle técnico

Vulnerabilidad CWE-306 de autenticación faltante en options.php permite solicitudes HTTP no autenticadas para modificar la configuración de ProjectSend. Precondiciones: versión anterior a r1720 accesible vía web. El impacto incluye creación no autorizada de cuentas, carga arbitraria de archivos (webshells) e inyección persistente de JavaScript.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

ProjectSend versions prior to r1720 are affected by an improper authentication vulnerability. Remote, unauthenticated attackers can exploit this flaw by sending crafted HTTP requests to options.php, enabling unauthorized modification of the application's configuration. Successful exploitation allows attackers to create accounts, upload webshells, and embed malicious JavaScript.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
ProjectSend · ProjectSend
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — ProjectSend

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-112001HIGHProjectSend 2.0.0 before 2.7.0 Incorrect Authorization via Users API Token AbilitiesEPSS 0.6%CVE-2026-112003MEDIUMProjectSend 2.0.0 before 2.7.0 Path Validation Bypass via Orphan File Import/DeleteEPSS 0.4%CVE-2026-53992MEDIUMReflected XSS in ProjectSend thumbnails-regenerate.php via start_date / end_date ParametersEPSS 0.4%CVE-2026-112002HIGHProjectSend 2.5.0 before 2.7.0 Unverified Password Change via /settings/passwordEPSS 0.3%