1. 漏洞概述

2024 年 12 月 2 日，安全运营中心监测到 ProjectSend 身份认证绕过漏洞，漏洞编号：CVE-2024-11680，漏洞威胁等级：高危。

2. 漏洞详情

ProjectSend 是一个开源文件共享网络应用程序，旨在促进服务器管理员和客户端之间的安全、私密文件传输。它是一款相当流行的应用程序，被更喜欢自托管解决方案而不是 Google Drive 和 Dropbox 等第三方服务的组织使用。

ProjectSend r1720 之前的版本存在身份认证绕过漏洞。远程未经身份验证的攻击者可以通过向 options.php 发送精心设计的 HTTP 请求来利用此漏洞，从而在未经授权的情况下修改应用程序的配置。成功利用此漏洞后，攻击者可嵌入恶意代码、开启创建帐户功能并上传 webshell。

3. 影响版本

ProjectSend < r1720

4. 处置建议

1. 目前官方已有可更新版本，建议受影响用户升级至最新版本：ProjectSend >=r1720。

官方补丁下载地址：https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744

https://github.com/projectsend/projectsend/releases/tag/r1720

预警通告来源：赛尔网络安全运营中心

联系人：梁宇

邮箱：liangyu@cernet.com

电话：15848147651

联系人：安宇彬

邮箱：anyb@cernet.com

电话：18698430210