CVE-2022-50973
Təsvir
Yonyou KSOA 9.0-də com.sksoft.bill.ImageUpload servletində autentifikasiya tələb etməyən ixtiyari fayl yükləmə zəifliyi mövcuddur ki, bu da autentifikasiya olunmamış hücumçulara heç bir autentifikasiya, fayl növü, uzantı və ya məzmun yoxlaması olmadan hücumçunun nəzarət etdiyi filepath və filename parametrləri ilə POST sorğusu göndərməklə ixtiyari faylları yükləməyə imkan verir. Hücumçular zərərli filename və root filepath göstərməklə JSP webshell yükləyə bilərlər; yüklənmiş fayl pictures qovluğunda saxlanılır və veb server tərəfindən birbaşa icra olunur, nəticədə autentifikasiya olunmamış uzaqdan kodun icrası baş verir. İstismar sübutu ilk dəfə Shadowserver Foundation tərəfindən 2023-11-07 (UTC) tarixində müşahidə edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Yonyou Network Technology Co., Ltd. KSOA | 9.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.