Qué es y cómo funciona
El CVE-2024-58404 es una vulnerabilidad de path traversal (CWE-22) en el sistema de gestión de contenido Zipline. La falla reside en el endpoint de exportación de datos de usuario, específicamente en el parámetro de consulta name. Un atacante autenticado puede bypassear la verificación de ID de usuario y utilizar secuencias de traversal de directorios para leer archivos arbitrarios en el servidor host.
Productos y versiones afectadas
La vulnerabilidad afecta a Zipline en versiones desde la 3.4.5 hasta antes de la 3.7.10.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 7.7 (Alta). Según el modelo EPSS, tiene una probabilidad de 1.0% de ser explotada en los próximos 30 días (percentil 62%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directos.
Qué hacer
Los administradores de sistemas que utilicen Zipline deben actualizar a la versión 3.7.10 o superior de inmediato para corregir esta vulnerabilidad.
| CVE | CVE-2024-58404 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.7 / 10 |
| EPSS | 1.0% en 30 días (percentil 62) |
| CWE | CWE-22 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.