FICHE CVE

CVE-2024-12646

Publiée le 2024-12-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs du client topm de Chunghwa Telecom sont concernés par une faille présente dans le serveur web local du logiciel. Un attaquant distant non authentifié peut supprimer n'importe quel fichier de votre système en vous incitant à cliquer sur un lien malveillant (CSRF) qui déclenche une requête de traversée de répertoire (path traversal). Cela nécessite une interaction de l'utilisateur, mais peut être exécuté via le réseau avec une faible complexité.

CVSS 3.18.1 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36 Cross-site request forgery (CSRF) · CWE-352

Publiée2024-12-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The topm-client from Chunghwa Telecom has an Arbitrary File Delete vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection in the APIs, unauthenticated remote attackers could use these APIs through phishing. Additionally, one of the APIs contains an Absolute Path Traversal vulnerability, allowing attackers to delete arbitrary files on the user's system.