一、 漏洞 CVE-2024-46506 基础信息
漏洞信息
                                        # N/A

## 漏洞概述
NetAlertX从版本23.01.14到24.x（不包括24.10.12）之间存在未认证的命令注入漏洞。攻击者可以通过更新设置进行攻击，因为`savesettings`函数没有验证用户身份。

## 影响版本
- 23.01.14 至 24.x（不包括24.10.12）

## 细节
漏洞与`settings.php`和`util.php`文件相关。在2025年5月，该漏洞已被野外利用。由于功能`savesettings`缺乏身份验证要求，攻击者可以注入并执行任意命令。

## 影响
该漏洞允许未经过身份验证的用户注入并执行命令，可能导致系统被完全控制或被攻击。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
NetAlertX 23.01.14 through 24.x before 24.10.12 allows unauthenticated command injection via settings update because function=savesettings lacks an authentication requirement, as exploited in the wild in May 2025. This is related to settings.php and util.php.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
关键功能的认证机制缺失
来源：美国国家漏洞数据库 NVD
漏洞标题
NetAlertX 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
NetAlertX是jokob-sk个人开发者的一个网络入侵者和存在检测器。 NetAlertX 23.01.14至24.10.12之前版本存在安全漏洞，该漏洞源于未经验证的命令注入，可能导致任意命令执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-46506 的公开POC
# POC 描述 源链接 神龙链接
1 NetAlertX 23.01.14 through 24.x before 24.10.12 allows unauthenticated command injection via settings update because function=savesettings lacks an authentication requirement, as exploited in the wild in May 2025. This is related to settings.php and util.php. https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2024/CVE-2024-46506.yaml POC详情
三、漏洞 CVE-2024-46506 的情报信息
四、漏洞 CVE-2024-46506 的评论

暂无评论

发表评论