CVE-2024-38516highCWE-1295

CVE-2024-38516: fallo de gravedad alta en aimeos ai-client-html

Aimeos HTML client may potentially reveal sensitive information in error log

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ai-client-html+ Monitorear aimeos/ai-client-html

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 0.5%
En resumen

El cliente HTML de Aimeos (plataforma de comercio electrónico) estaba registrando información sensible de variables de entorno en los registros de error cuando el modo de depuración estaba habilitado, exponiendo potencialmente secretos como claves de API o credenciales de base de datos a cualquier persona con acceso a esos registros.

Detalle técnico

Vulnerabilidad CWE-1295 en el componente ai-client-html de Aimeos donde el manejo inadecuado de información de depuración causa la exposición de variables de entorno sensibles en registros de error. El vector de ataque es el acceso local/adyacente a registros de error; requiere modo de depuración habilitado como precondición. El impacto incluye divulgación de credenciales y secretos de configuración.

Resumen generado y traducido por IA a partir de la descripción oficial.
ai-client-html is an Aimeos e-commerce HTML client component. Debug information revealed sensitive information from environment variables in error log. This issue has been patched in versions 2024.04.7, 2023.10.15, 2022.10.13 and 2021.10.22.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
aimeos · ai-client-html
CVEs relacionadas — aimeos ai-client-html

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-37296MEDIUMAimeos HTML client vulnerable to digital products download without proper payment status checkEPSS 0.5%