TVN ID	TVN-202412001
CVE ID	CVE-2024-12641
CVSS	9.6 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
影響產品	文件傳輸程式 0.41.151 至 0.41.156 版本
問題描述	中華電信文件傳輸程式存在 Reflected Cross-site Scripting漏洞。該程式會架設簡易本機端網站並提供API與標的網站溝通，由於API未對CSRF做防護，未經身分鑑別之遠端攻擊者可利用釣魚的方式使用特定API於使用者瀏覽器執行任意JavaScript程式碼。因該程式架設之網站支援Node.Js特性，攻擊者可進一步利用達到執行任意作業系統指令。
解決方法	更新至0.41.157(含)以後版本
漏洞通報者	Chumy Tsai (密友科技有限公司)
公開日期	2024-12-16