PT-2024-16861 · Unknown · Erzhongxmu Jeewms

Ib2Xzgerzhongxmu · Publicado 2024-11-15 · Atualizado 2024-11-18 · CVE-2024-11251

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

erzhongxmu Jeewms até 20241108

Descrição

Uma falha crítica afeta o processamento do arquivo cgReportController.do do componente AuthInterceptor. A manipulação do argumento begin date leva a uma injeção de SQL. O ataque pode ser iniciado remotamente. Outros parâmetros também podem ser afetados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução temporária, considere restringir o acesso ao arquivo cgReportController.do ou ao componente AuthInterceptor para minimizar o risco de exploração. Evite usar o parâmetro begin date no arquivo afetado até que o problema seja resolvido.

Exploit

Special Elements Injection

SQL injection

Enumeração de Fraquezas

CWE-74

CWE-89

Identificadores relacionados

CVE-2024-11251

Produtos afetados

Erzhongxmu Jeewms

Referências · 7

• 🔥 https://gitee.com/erzhongxmu/JEEWMS/issues/IB2XZG · Exploit
• https://vuldb.com/?id.284687 · Nota
• https://vuldb.com/?ctiid.284687 · Nota
• https://osv.dev/vulnerability/CVE-2024-11251 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1857557135498031516 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-11251 · Nota de Segurança
• https://t.me/cvenotify/101856 · Publicação no Telegram