PT-2025-3828 · Kaiyuantong · Kaiyuantong Ect Platform
Glzjin
·
Publicado
2025-01-09
·
Atualizado
2025-01-09
·
CVE-2025-0328
CVSS v2.0
7.5
Alta
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:P |
Nome do Software Vulnerável e Versões Afetadas
Versões do KaiYuanTong ECT Platform até a 2.0.0
Descrição
Um problema crítico foi encontrado no componente manipulador de solicitações HTTP POST do software afetado, especificamente no arquivo /public/server/runCode.php. A manipulação do argumento
code leva à injeção de comandos. Esta vulnerabilidade pode ser explorada remotamente. O exploit foi divulgado publicamente e o fornecedor foi contatado sobre esta divulgação, mas não respondeu.Recomendações
Para as versões do KaiYuanTong ECT Platform até a 2.0.0, como medida de contorno temporária, considere desativar o arquivo
runCode.php ou restringir o acesso ao componente manipulador de solicitações HTTP POST até que um patch esteja disponível. Evite utilizar o argumento code no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.Exploit
Correção
Special Elements Injection
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Kaiyuantong Ect Platform