PT-2024-16774 · Unknown · Lingdang Crm

Mstir + 1 · Publicado 2024-11-12 · Atualizado 2024-11-12 · CVE-2024-11121

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Lingdang CRM até a 8.6.4.3

Descrição

Foi encontrada uma falha crítica no software, afetando uma funcionalidade desconhecida do arquivo /crm/WeiXinApp/marketing/index.php?module=Users&action=getActionList. A manipulação do argumento userid leva à injeção de SQL. Esta falha pode ser explorada remotamente.

Recomendações

Para versões até 8.6.4.3, como solução temporária, considere restringir o acesso ao endpoint /crm/WeiXinApp/marketing/index.php, especificamente à ação getActionList, para minimizar o risco de exploração. Evite usar o argumento userid no endpoint afetado até que a falha seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta falha.

Exploit

Correção

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-11121

Produtos afetados

Lingdang Crm

Referências · 7

• 🔥 https://wiki.shikangsi.com/post/share/4d05b8c3-5464-48f3-bb14-a852b6e70abc · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-11121 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-11121 · Aviso do Fabricante
• https://vuldb.com/?submit.436675 · Nota
• https://twitter.com/CVEnew/status/1856321764705325356 · Publicação no Twitter
• https://vuldb.com/?id.283969 · Nota
• https://vuldb.com/?ctiid.283969 · Nota