Suivi KEV › Autres éditeurs

CVE-2024-50623 Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non restreint

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 13 décembre 2024.

  • Produit : Cleo Multiple Products
  • Ajoutée au catalogue : 13 décembre 2024
  • Échéance CISA : 3 janvier 2025
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-434
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %

Cleo Harmony, VLTrader et LexiCom, qui sont des produits de transfert de fichiers gérés, contiennent une vulnérabilité de téléversement et de téléchargement de fichiers non restreinte qui peut conduire à une exécution de code à distance avec élévation de privilèges.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.cleo.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 98,6 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • harmony : versions < 5.8.0.21
  • lexicom : versions < 5.8.0.21
  • vltrader : versions < 5.8.0.21

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Téléversement de fichiers non restreint de type dangereux (CWE-434) : Le produit permet le téléversement ou le transfert de types de fichiers dangereux qui sont automatiquement traités dans son environnement.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Cleo Multiple Products Unrestricted File Upload Vulnerability

Cleo Harmony, VLTrader, and LexiCom, which are managed file transfer products, contain an unrestricted file upload and download vulnerability that can lead to remote code execution with elevated privileges.

Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de Cleo Multiple Products

  • CVE-2026-5430 — WSO2, plusieurs produits : vulnérabilité de traversée de répertoires (24 septembre 2026)
  • CVE-2021-22681 — Rockwell, plusieurs produits : vulnérabilité de crédentiels insuffisamment protégés (5 mars 2026)
  • CVE-2017-7921 — Hikvision, plusieurs produits : vulnérabilité d'authentification incorrecte (5 mars 2026)
  • CVE-2024-55956 — Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non authentifié (17 décembre 2024)
  • CVE-2023-25717 — Ruckus Wireless, plusieurs produits : vulnérabilité CSRF et exécution de code à distance (12 mai 2023)
  • CVE-2023-22952 — SugarCRM, plusieurs produits : exécution de code à distance (2 février 2023)
  • CVE-2022-29464 — WSO2, plusieurs produits : téléversement de fichiers sans restriction (25 avril 2022)
  • CVE-2019-3929 — Crestron, plusieurs produits : vulnérabilité d'injection de commandes (15 avril 2022)

← Toutes les failles des autres éditeurs · Suivi KEV