FICHE CVE

CVE-2024-12644

Publiée le 2024-12-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs du client tbm de Chunghwa Telecom sont affectés par une faille dans le serveur web local de l'application. Un attaquant distant non authentifié peut utiliser un lien de phishing pour inciter un utilisateur à déclencher une attaque par traversée de répertoire (path traversal), lui permettant de copier n'importe quel fichier du système local vers un autre emplacement. Cela pourrait entraîner le vol d'informations sensibles ou l'épuisement de l'espace disque.

CVSS 3.17.1 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36 Cross-site request forgery (CSRF) · CWE-352

Publiée2024-12-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

The tbm-client from Chunghwa Telecom has an Arbitrary File vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection in the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains an Absolute Path Traversal vulnerability. Attackers can copy arbitrary files on the user's system and paste them into any path, which poses a potential risk of information leakage or could consume hard drive space by copying files in large volumes.