CVE-2024-28237

OctoPrint istehlakçı 3D printerlərini idarə etmək üçün veb interfeys təmin edir. OctoPrint-in 1.9.3 versiyası daxil olmaqla daha əvvəlki versiyalarında zərərli administratorlara və ya administrator hüquqlı qurbanları aldataraq veb interfeysdəki "Test" düyməsi vasitəsilə yoxlanıldıqda, şəkil görüntülənməsi zamanı qurbanın brauzerində JavaScript kodunu icra edəcək veb-kamera snapshot URL-ni konfiqurasiya etdirməyə imkan verən boşluq mövcuddur. Admin hüquqlu qurbanı belə hazırlanmış URL ilə snapshot testi etməyə razı salan hücumçu bundan həssas konfiqurasiya parametrlərini əldə etmək və ya dəyişdirmək, çap prosesini dayandırmaq və ya digər şəkildə OctoPrint instansiyası ilə zərərli şəkildə qarşılıqlı əlaqədə olmaq üçün istifadə edə bilər. Boşluq 1.10.0rc3 versiyasında aradan qaldırılmışdır. OctoPrint administratorlarına quraşdırmalarına kimlərin admin girişi olduğu və yad şəxslərin təlimatları əsasında hansı parametrləri dəyişdiklərini ciddi şəkildə yoxlamaları tövsiyə olunur.