CVE-2024-3408criticalexploração observadaCWE-798

CVE-2024-3408: falha crítica em man-group/dtale

Authentication Bypass and RCE in man-group/dtale

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar man-group/dtale+ Monitorar dtale

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

100Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 9.8epss 78%
da publicação à arma564 dias
Publicada no NVD6 de jun.
1ª PoC+564d
metasploit+244d
VulnCheck+561d
man-group/dtale version 3.10.0 is vulnerable to an authentication bypass and remote code execution (RCE) due to improper input validation. The vulnerability arises from a hardcoded `SECRET_KEY` in the flask configuration, allowing attackers to forge a session cookie if authentication is enabled. Additionally, the application fails to properly restrict custom filter queries, enabling attackers to execute arbitrary code on the server by bypassing the restriction on the `/update-settings` endpoint, even when `enable_custom_filters` is not enabled. This vulnerability allows attackers to bypass authentication mechanisms and execute remote code on the server.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
man-group · man-group/dtale
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.