جزئیات آسیب‌پذیری
CVE-2024-52301
laravel framework
Laravel allows environment manipulation via query string
CVSS 4.0
8.7بالا
شرح رسمی (انگلیسی)
Laravel is a web application framework. When the register_argc_argv php directive is set to on , and users call any URL with a special crafted query string, they are able to change the environment used by the framework when handling the request. The vulnerability fixed in 6.20.45, 7.30.7, 8.83.28, 9.52.17, 10.48.23, and 11.31.0. The framework now ignores argv values for environment detection on non-cli SAPIs.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| laravel | framework | v < 11.31.0 | CISA ADP / Vulnrichment |
| laravel | framework | v < 8.83.28 | CISA ADP / Vulnrichment |
| laravel | framework | v ≤ 9.0.0 | CISA ADP / Vulnrichment |
| laravel | framework | v < 9.52.17 | CISA ADP / Vulnrichment |
| laravel | framework | v ≤ 10.0.0 | CISA ADP / Vulnrichment |
| laravel | framework | v < 10.48.23 | CISA ADP / Vulnrichment |
| laravel | framework | v ≤ 11.0.0 | CISA ADP / Vulnrichment |
| laravel | framework | v < 6.20.45 | CISA ADP / Vulnrichment |
| laravel | framework | v ≤ 7.0.0 | CISA ADP / Vulnrichment |
| laravel | framework | v < 7.30.7 | CISA ADP / Vulnrichment |
| laravel | framework | v ≤ 8.0.0 | CISA ADP / Vulnrichment |
| laravel | framework | < 6.20.45 | CVEProject cvelistV5 (CNA) |
| laravel | framework | >= 10.0.0, < 10.48.23 | CVEProject cvelistV5 (CNA) |
| laravel | framework | >= 11.0.0, < 11.31.0 | CVEProject cvelistV5 (CNA) |
| laravel | framework | >= 7.0.0, < 7.30.7 | CVEProject cvelistV5 (CNA) |
| laravel | framework | >= 8.0.0, < 8.83.28 | CVEProject cvelistV5 (CNA) |
| laravel | framework | >= 9.0.0, < 9.52.17 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۳/۰۸/۲۲
- آخرین به‌روزرسانی
- ۱۴۰۳/۱۰/۰۱
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۴۴٫۷۵٪
احتمال بهره‌برداری در ۳۰ روز
۹۸٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-88Improper Neutralization of Argument Delimiters in a Command ('Argument Injection')