CVE-2024-50336

描述

matrix-js-sdk is a Matrix messaging protocol Client-Server SDK for JavaScript. matrix-js-sdk before 34.11.0 is vulnerable to client-side path traversal via crafted MXC URIs. A malicious room member can trigger clients based on the matrix-js-sdk to issue arbitrary authenticated GET requests to the client's homeserver. Fixed in matrix-js-sdk 34.11.1.

如何修補 CVE-2024-50336

要修補 CVE-2024-50336,請將受影響套件升級到下列已修補版本。

• Debian/node-matrix-js-sdk—未列出修補版本
• Debian/thunderbird—升級至 1:128.6.0esr-1~deb11u1 或更新版本
• —升級至 1:128.6.0esr-1~deb11u1 或更新版本
• —升級至 1:128.6.0esr-1~deb12u1 或更新版本
• —升級至 34.11.1 或更新版本

CVE-2024-50336 正在被利用嗎?

低 — EPSS 為 0.8%,目前沒有觀察到大規模利用活動。

受影響套件(5)

• from 0
• from 0, < 1:128.6.0esr-1~deb11u1
• from 0, < 1:128.6.0esr-1~deb11u1
• from 0, < 1:128.6.0esr-1~deb12u1
• from 0, < 34.11.1

CVSS 分數

參考連結(6)

• ADVISORYnvd.nist.gov/vuln/detail/CVE-2024-50336
• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2024-50336
• PATCHgithub.com/matrix-org/matrix-js-sdk
• WEBgithub.com/matrix-org/matrix-js-sdk/security/advisories/GHSA-xvg8-m4x3-w6xr