Descripción
Un problema en im3x Scriptables hasta la rama v2-dev permite a los atacantes inyectar comandos arbitrarios del sistema operativo mediante la carga, en el endpoint /sync, de un archivo con un nombre especialmente manipulado.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Referencias
- Referencia en github.comgithub.com/im3x/Scriptables
- Referencia en github.comgithub.com/im3x/Scriptables/blob/v2-dev/app.js
- Referencia en github.comgithub.com/Den-Sec/security-research/blob/master/advisories/gohttpser…
- Referencia en github.comgithub.com/Den-Sec/security-research/blob/master/advisories/im3x-scri…
Ver el texto original en inglés (CVE.org)
An issue in im3x Scriptables through v2-dev branch allows attackers to inject arbitrary OS commands via uploading a file with a crafted filename to the /sync endpoint.