PT-2024-18236 · Zhongbangkeji · Crmeb

Ting · Publicado 2024-02-21 · Atualizado 2025-01-03 · CVE-2024-1703

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

ZhongBangKeJi CRMEB versão 5.2.2

Descrição

Foi identificada uma falha no software que afeta a função openfile do arquivo “/adminapi/system/file/openfile”. Essa falha permite a traversal de caminho absoluto. A exploração foi divulgada ao público. O fornecedor foi contatado sobre essa divulgação, mas não respondeu.

Recomendações

Para o ZhongBangKeJi CRMEB versão 5.2.2, considere desativar a função openfile do arquivo “/adminapi/system/file/openfile” como uma solução temporária para minimizar o risco de exploração. Restrinja o acesso ao endpoint “/adminapi/system/file/openfile” para impedir ataques de traversal de caminho absoluto. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

CWE-36

Identificadores relacionados

CVE-2024-1703

Produtos afetados

Crmeb

Referências · 8

• 🔥 https://github.com/Echosssy/-CRMEB-Mall-commercial-version-of-any-file-read-vulnerability/blob/main/README.md · Exploit
• https://twitter.com/CVEnew/status/1760356371604844612 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-1703 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-1703 · Aviso do Fabricante
• https://t.me/cvenotify/72114 · Publicação no Telegram
• https://vuldb.com/?ctiid.254391 · Nota
• https://vuldb.com/?id.254391 · Nota
• https://t.me/cvenotify/103070 · Publicação no Telegram