CVE-2024-4879criticalbajo ataqueCWE-1287

CVE-2024-4879: fallo crítico en ServiceNow Now Platform

Jelly Template Injection Vulnerability in ServiceNow UI Macros

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Now Platform+ Monitorear Utah, Vancouver, and Washington DC Now Platform

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.3epss 100%
de la publicación al arma2 días
Publicada en NVD10 jul
1ª PoC+2d
CISA KEV+19d
Acción exigida por CISAplazo federal: 2024-08-19

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Una falla en los Macros de Interfaz de ServiceNow permite que atacantes no autenticados inyecten código malicioso a través de entrada de template, resultando en ejecución remota de código en la plataforma. Esto es crítico porque elude autenticación y afecta a todos los usuarios de instancias ServiceNow comprometidas.

Detalle técnico

Vulnerabilidad de inyección de template (CWE-1287) en Macros de Interfaz de ServiceNow permite ejecución remota de código sin autenticación debido a validación insuficiente de entrada. El vector de ataque es basado en red sin requisito de autenticación; las versiones afectadas incluyen Vancouver y Washington DC del Now Platform. La explotación exitosa resulta en ejecución arbitraria de código en el contexto de la plataforma.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

ServiceNow has addressed an input validation vulnerability that was identified in Vancouver and Washington DC Now Platform releases. This vulnerability could enable an unauthenticated user to remotely execute code within the context of the Now Platform. ServiceNow applied an update to hosted instances, and ServiceNow released the update to our partners and self-hosted customers. Listed below are the patches and hot fixes that address the vulnerability. If you have not done so already, we recommend applying security patches relevant to your instance as soon as possible.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
ServiceNow · Now Platform
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — ServiceNow Now Platform

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-5217CRITICALIncomplete Input Validation in GlideExpression ScriptEPSS 99.6%KEVCVE-2024-5178MEDIUMIncomplete Input Validation in SecurelyAccess APIEPSS 33.6%CVE-2022-43684CRITICALACL bypass in Reporting functionalityEPSS 1.8%CVE-2025-3648HIGHData Inference in Now Platform via Conditional ACLsEPSS 1.7%CVE-2024-8923CRITICALSandbox Escape in Now PlatformEPSS 1.1%CVE-2022-46389MEDIUMCross-Site Scripting (XSS) vulnerability found on logout functionalityEPSS 0.6%