PT-2021-23392 · Yonyou · Yonyou Turbocrm

Publicado 2021-10-29 · Atualizado 2021-12-06 · CVE-2021-41746

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Todas as versões do Yonyou TurboCRM

Descrição

Existe uma vulnerabilidade de injeção de SQL no parâmetro orgcode do arquivo changepswd.php, permitindo que invasores obtenham informações confidenciais do banco de dados.

Recomendações

Para todas as versões, como solução temporária, considere restringir o acesso ao arquivo changepswd.php até que um patch esteja disponível. Evite usar o parâmetro orgcode no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-41746

Produtos afetados

Yonyou Turbocrm

Referências · 5

• 🔥❌ https://github.com/purple-WL/Yonyou-TurboCRM-SQL-injection/issues/1 · Exploit, Deleted
• https://t.me/cibsecurity/31475 · Publicação no Telegram
• https://t.me/cvenotify/22682 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41746 · Nota de Segurança
• https://cnvd.org.cn/flaw/show/CNVD-2020-21956 · Nota