CVE-2024-53992丨unzip-bot 允许通过存档提取、密码提示或视频上传进行远程代码执行 (RCE)

unzip-bot 允许通过存档提取、密码提示或视频上传进行远程代码执行 (RCE) (CVE-2024-53992)
CVE编号

CVE-2024-53992
利用情况

暂无
补丁情况

N/A
披露时间

2024-12-03
漏洞描述
unzip-bot 是一个 Telegram bot，用于解压各种类型的压缩文件。用户可能会利用未经处理的输入来注入恶意命令，这些命令通过带有 shell=True 的 subprocess.Popen 执行。攻击者可以利用精心制作的压缩文件名、密码或视频名称来利用此漏洞。此漏洞已在 7.0.3a 版本中修复。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接
https://github.com/EDM115/unzip-bot/commit/5213b693eabb562842cdbf21c1074e91bfa00274
https://github.com/EDM115/unzip-bot/security/advisories/GHSA-34cg-7f8c-fm5h