CVE-2024-6037

Tworzenie arbitralnych folderów na serwerze w ChuanhuChatGPT

CVSS 9.1v3.1pub. 2024-07-10upd. 2025-10-15

Podatność w ChuanhuChatGPT w wersji 20240410 umożliwia nieuwierzytelnionemu atakującemu tworzenie dowolnych folderów w dowolnej lokalizacji na serwerze, w tym w katalogu głównym. Może to prowadzić do wyczerpania zasobów, niedostępności serwera oraz potencjalnej utraty lub uszkodzenia danych.

▸ Pokaż oryginał (EN)

A vulnerability in gaizhenbiao/chuanhuchatgpt version 20240410 allows an attacker to create arbitrary folders at any location on the server, including the root directory (C: dir). This can lead to uncontrolled resource consumption, resulting in resource exhaustion, denial of service (DoS), server unavailability, and potential data loss or corruption.

🤖 Analiza AI

Jak działa

Atakujący, bez konieczności uwierzytelnienia, może wysyłać żądania sieciowe powodujące tworzenie arbitralnych folderów w dowolnym miejscu systemu plików serwera — włącznie z katalogiem głównym (np. C:\). Brak odpowiedniej kontroli nad tworzeniem zasobów (CWE-770) pozwala na niekontrolowane zużycie zasobów systemowych. Masowe tworzenie folderów może doprowadzić do wyczerpania dostępnej przestrzeni dyskowej lub limitów systemu plików, skutkując odmową usługi (DoS).

Skutki

Atakujący może doprowadzić do wyczerpania zasobów serwera, jego niedostępności (DoS) oraz potencjalnej utraty lub uszkodzenia danych. Możliwe jest również zakłócenie integralności struktury systemu plików poprzez zapis w krytycznych lokalizacjach.

Mitygacja

Należy zaktualizować aplikację do wersji zawierającej poprawkę dostępną w repozytorium producenta (commit 71cb89c4c948dae5aaa0ae64b98f98e3965bdb37 na GitHub). Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

ChuanhuChatGPT (gaizhenbiao/chuanhuchatgpt) w wersji 20240410

Uwagi

Podatność została zgłoszona i upubliczniona za pośrednictwem platformy huntr.com. Poprawka dostępna jest jako konkretny commit w repozytorium GitHub producenta.