CVE-2024-39717mediumbajo ataqueCWE-434

CVE-2024-39717: fallo de gravedad media en Versa Director

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Director

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

43Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Attendcvss 6.6epss 4.0%
de la publicación al arma
Publicada en NVD22 ago
CISA KEV+1d
Acción exigida por CISAplazo federal: 2024-09-13

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Un administrador autenticado en Versa Director puede cargar un archivo malicioso disfrazado de imagen PNG a través de la personalización del favicon, potencialmente resultando en ejecución de código no autorizado o compromiso del sistema.

Detalle técnico

Vulnerabilidad CWE-434 de carga de archivo sin restricciones en la funcionalidad de carga del favicon permite que usuarios autenticados con privilegio Provider-Data-Center-Admin o Provider-Data-Center-System-Admin eludan validación de tipo de archivo usando extensión .png en cargas maliciosas. La explotación requiere autenticación previa y privilegio administrativo; el impacto incluye potencial ejecución remota de código o violación de la integridad del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The Versa Director GUI provides an option to customize the look and feel of the user interface. This option is only available for a user logged with Provider-Data-Center-Admin or Provider-Data-Center-System-Admin. (Tenant level users do not have this privilege). The “Change Favicon” (Favorite Icon) option can be mis-used to upload a malicious file ending with .png extension to masquerade as image file. This is possible only after a user with Provider-Data-Center-Admin or Provider-Data-Center-System-Admin has successfully authenticated and logged in.
CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Versa · Director
CVEs relacionadas — Versa Director

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-23172HIGHCVE-2025-23172EPSS 1.1%CVE-2024-45208CRITICALCVE-2024-45208EPSS 0.9%CVE-2025-23173HIGHCVE-2025-23173EPSS 0.6%CVE-2025-23170MEDIUMCVE-2025-23170EPSS 0.6%CVE-2024-42450CRITICALCVE-2024-42450EPSS 0.6%CVE-2025-23171HIGHCVE-2025-23171EPSS 0.6%