FICHE CVE

CVE-2024-12643

Publiée le 2024-12-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Le logiciel tbm-client de Chunghwa Telecom présente une vulnérabilité permettant à un attaquant de supprimer n'importe quel fichier sur votre système. Un attaquant peut déclencher cette action en vous incitant à visiter un site web malveillant ou à cliquer sur un lien de phishing pendant que l'application est en cours d'exécution. Comme l'attaque s'effectue via le réseau et ne nécessite aucune authentification préalable, elle est relativement facile à exécuter si l'utilisateur interagit avec le lien de l'attaquant.

CVSS 3.18.1 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36 Cross-site request forgery (CSRF) · CWE-352

Publiée2024-12-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The tbm-client from Chunghwa Telecom has an Arbitrary File Delete vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection in the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains an Absolute Path Traversal vulnerability, allowing attackers to delete arbitrary files on the user's system.