CVE-2024-4358

criticalPriorität · handeln · 90OT-Risiko · kritischKEV · ausgenutztEPSS 0.975 · 100. PerzentilExploit · waffenfähigDEEURUUS

grimoire priorityP0 · Act now

Exploitable?

Yes · in the wild

CISA KEV · 9 exploits · waffenfähig

Likely / severe?

97.5% (100th) EPSS

CVSS 9.8 · critical

Is it mine?

5 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

hinzugefügt 2024-06-13beheben bis 2024-07-04

erforderliche Maßnahme Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

EPSS · bewertet 2026-10-22

Progress Telerik Report Server Authentication Bypass by Spoofing Vulnerability

In Progress Telerik Report Server, version 2024 Q1 (10.0.24.305) or earlier, on IIS, an unauthenticated attacker can gain access to Telerik Report Server restricted functionality via an authentication bypass vulnerability.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · security@progress.comAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Hsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: active · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-290USprimärCWE-290US

ATT&CK-Techniken

ATT&CK-Techniken, die dies ermöglicht oder abbildet.

T1190Exploit Public-Facing Application — CVE-2024-4358 is an authentication bypass vulnerability. This has been seen to be chained with CVE-2024-1800 in order to achieve remote code execution.Ausnutzung

Exploits (9)

Öffentlicher Proof-of-Concept- und Exploit-Code.

exploit/windows/http/telerik_report_server_deserializationTelerik Report Server Auth Bypass and Deserialization RCEwaffenfähig · metasploit
auxiliary/scanner/http/telerik_report_server_auth_bypassTelerik Report Server Auth Bypassfunktional · metasploit
EDB-52103Progress Telerik Report Server 2024 Q1 (10.0.24.305) - Authentication BypassPoC · exploit_db
Harydhk7/CVE-2024-4358Harydhk7/CVE-2024-4358PoC · poc_in_github
RevoltSecurities/CVE-2024-4358An Vulnerability detection and Exploitation tool for CVE-2024-4358PoC · poc_in_github
Sk1dr0wz/CVE-2024-4358_Mass_ExploitSk1dr0wz/CVE-2024-4358_Mass_ExploitPoC · poc_in_github

betroffene Produkte (5)

Betroffene Produkte und Versionsbereiche.

Progress Software Telerik Report Server <10.1.24.514alle Versionencert_bundDE
Progress Software Telerik Report Server< 10.1.24.514cert_bundDE
Progress Software Corporation Telerik Report Server1.0.0 → 10.1.24.514enisa_euvdEU
Progress Software Corporation Telerik Report Server≤ 2024 Q1 (10.0.24.305)fstec_bduRU
telerik report server 2024≤ 10.0.24.305nvdUScpe:2.3:a:telerik:report_server_2024:*:*:*:*:*:*:*:*

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2024-3158Progress Software Telerik Report Server: Mehrere SchwachstellenDeutsch2024-10-13csaf · cert_bundDE
Ein entfernter Angreifer kann mehrere Schwachstellen in Progress Software Telerik Report Server ausnutzen, um Informationen offenzulegen, beliebigen Code auszuführen oder die Authentifizierung zu umgehen.

auch bekannt als (5)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2024-05-29geändert 2026-06-17

verwandt (886)

Verwandte Einträge.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2026-102764US	critical9.8OT kritisch	1.18% (67th)	KEV	2026-10-15
The vulnerability exists within internal components of BeyondTrust’s Remote Support product. The components did not adequately validate the origin of the messages it received. Unde…
CVE-2026-104935US	—OT kritisch	26.0% (98th)	KEV	2026-10-13
Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands. This does not impact ICS version 22.7R2.14…
CVE-2024-54085US	critical9.8OT kritisch	60.7% (99th)	KEV	2025-03-11
AMI’s SPx contains a vulnerability in the BMC where an Attacker may bypass authentication remotely through the Redfish Host Interface. A successful exploitation of this vulnerabili…
CVE-2023-50224US	—OT kritisch	20.0% (97th)	KEV	2024-05-03
TP-Link TL-WR841N dropbearpwd Improper Authentication Information Disclosure Vulnerability. This vulnerability allows network-adjacent attackers to disclose sensitive information o…
CVE-2022-26925US	medium5.9OT kritisch	10.5% (96th)	KEV	2022-05-10
Windows LSA Spoofing Vulnerability

+881 weitere

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan