« Volver al listado

CVE-2024-8504

Estado: AplazadaAlta (8.8)—💥 Exploit

Un atacante con acceso autenticado a VICIdial como "agente" puede ejecutar comandos de shell arbitrarios como usuario "superusuario". Este ataque se puede encadenar con CVE-2024-8503 para ejecutar comandos de shell arbitrarios a partir de una perspectiva no autenticada.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

💥 Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Vicidial — VicidialAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2024-8504",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2024-8504",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2024-09-12T13:51:21.498740Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.8,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "bbf0bd87-ece2-41be-b873-96928ee8fab9",
      "affectedData": [
        {
          "vendor": "VICIdial",
          "product": "VICIdial",
          "versions": [
            {
              "status": "affected",
              "version": "2.14-917a"
            }
          ],
          "platforms": [
            "Linux"
          ],
          "defaultStatus": "unaffected"
        }
      ]
    },
    {
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
      "affectedData": [
        {
          "cpes": [
            "cpe:2.3:a:vicidial:vicidial:2.14-917a:*:*:*:*:*:*:*"
          ],
          "vendor": "vicidial",
          "product": "vicidial",
          "versions": [
            {
              "status": "affected",
              "version": "2.14-917a"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2024-09-10T20:15:05.363",
  "references": [
    {
      "url": "https://korelogic.com/Resources/Advisories/KL-001-2024-012.txt",
      "source": "bbf0bd87-ece2-41be-b873-96928ee8fab9"
    },
    {
      "url": "https://www.vicidial.org/vicidial.php",
      "source": "bbf0bd87-ece2-41be-b873-96928ee8fab9"
    },
    {
      "url": "http://seclists.org/fulldisclosure/2024/Sep/26",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "bbf0bd87-ece2-41be-b873-96928ee8fab9",
      "description": [
        {
          "lang": "en",
          "value": "CWE-78"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "An attacker with authenticated access to VICIdial as an \"agent\" can execute arbitrary shell commands as the \"root\" user. This attack can be chained with CVE-2024-8503 to execute arbitrary shell commands starting from an unauthenticated perspective."
    },
    {
      "lang": "es",
      "value": "Un atacante con acceso autenticado a VICIdial como \"agente\" puede ejecutar comandos de shell arbitrarios como usuario \"superusuario\". Este ataque se puede encadenar con CVE-2024-8503 para ejecutar comandos de shell arbitrarios a partir de una perspectiva no autenticada."
    }
  ],
  "lastModified": "2026-06-17T08:22:45.337",
  "sourceIdentifier": "bbf0bd87-ece2-41be-b873-96928ee8fab9"
}