PT-2024-31907 · Zhejiang University · Zhejiang University Entersoft Customer Resource Management System

CVE-2024-46088 · Publicado 2024-10-11 · Atualizado 2024-10-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Gestão de Recursos do Cliente Entersoft da Universidade de Zhejiang, versões v2002 a v2024

Descrição

Uma vulnerabilidade de upload de arquivo arbitrário na interface ProductAction.entphone permite que invasores executem código arbitrário por meio do upload de um arquivo malicioso. Este problema representa um risco significativo, e atualizar para a versão mais recente e seguir as melhores práticas de segurança são cruciais para proteger os sistemas.

Recomendações

Para as versões v2002 a v2024, atualize para a versão mais recente e aplique imediatamente todos os patches recomendados para proteger seus sistemas.

Como solução alternativa temporária, considere restringir o acesso à interface ProductAction.entphone até que um patch esteja disponível.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-46088

Produtos afetados

Zhejiang University Entersoft Customer Resource Management System

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2024-46088 · Nota de Segurança
• https://twitter.com/transilienceai/status/1845330984549417367 · Publicação no Twitter
• https://periwinkle-brother-031.notion.site/Analysis-of-any-file-upload-vulnerability-of-Zhejiang-University-Entersoft-Customer-Resource-Managem-0f88a0e77d6f4f638bc3c4e508a1e0ed · Nota
• http://zhejiang.com · Nota
• https://entersoft.cn · Nota
• https://twitter.com/cracbot/status/1846430957605474319 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1845330979327561950 · Publicação no Twitter