CVE-2024-11680criticalsob ataqueCWE-306

CVE-2024-11680: falha crítica em ProjectSend

ProjectSend Unauthenticated Configuration Modification

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ProjectSend

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

100Vexday Risk Score

Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.

ssvc Actcvss 9.8epss 92%
da publicação à arma8 dias
Publicada no NVD26 de nov.
1ª PoC+8d
metasploit19 de jul.
CISA KEV+7d
Ação exigida pela CISAprazo federal: 2024-12-24

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Pesquisado e redigido com IA a partir do advisory do fornecedor e de análises públicas, com as fontes acima. Confira sempre a versão corrigida no advisory oficial antes de agir.
ProjectSend versions prior to r1720 are affected by an improper authentication vulnerability. Remote, unauthenticated attackers can exploit this flaw by sending crafted HTTP requests to options.php, enabling unauthorized modification of the application's configuration. Successful exploitation allows attackers to create accounts, upload webshells, and embed malicious JavaScript.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
ProjectSend · ProjectSend
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — ProjectSend

No mesmo produto, das mais perigosas para as menos.

CVE-2026-112001HIGHProjectSend 2.0.0 before 2.7.0 Incorrect Authorization via Users API Token AbilitiesEPSS 0.6%CVE-2026-112003MEDIUMProjectSend 2.0.0 before 2.7.0 Path Validation Bypass via Orphan File Import/DeleteEPSS 0.4%CVE-2026-53992MEDIUMReflected XSS in ProjectSend thumbnails-regenerate.php via start_date / end_date ParametersEPSS 0.4%CVE-2026-112002HIGHProjectSend 2.5.0 before 2.7.0 Unverified Password Change via /settings/passwordEPSS 0.3%