PT-2024-16411 · Tongda Oa · Tongda Oa

Lvzc1 · Publicado 2024-10-31 · Atualizado 2024-11-04 · CVE-2024-10615

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Tongda OA 2017 até a 11.10

Descrição

Uma falha crítica afeta uma funcionalidade desconhecida do arquivo /general/approve center/query/list/input form/delete data attach.php. A manipulação do argumento RUN ID leva a uma injeção de SQL. O ataque pode ser lançado remotamente. A exploração foi divulgada ao público e pode estar em uso.

Recomendações

Para as versões do Tongda OA 2017 até a 11.10, restrinja o acesso ao arquivo vulnerável /general/approve center/query/list/input form/delete data attach.php para minimizar o risco de exploração.

Como solução temporária, considere restringir o uso do parâmetro RUN ID no arquivo afetado até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-10615

Produtos afetados

Tongda Oa

Referências · 12

• 🔥 https://github.com/LvZCh/td/issues/6 · Exploit
• https://t.me/cvenotify/100251 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1852189652544802919 · Publicação no Twitter
• https://vuldb.com/?submit.433500 · Nota
• https://vuldb.com/?ctiid.282626 · Nota
• https://vuldb.com/?id.282626 · Nota
• https://twitter.com/oktsec/status/1852042440988934178 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10615 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-10615 · Aviso do Fabricante
• https://t.me/cvenotify/100534 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1852237128177963062 · Publicação no Twitter
• https://t.me/cvedetector/9556 · Publicação no Telegram