CVE-2023-7334
Təsvir
Changjetong T+ versiya 16.x və daha aşağı versiyalarda AjaxPro son nöqtəsində uzaqdan kodun icrasına səbəb ola bilən .NET deserializasiya zəifliyi mövcuddur. Uzaqdakı hücumçu `/tplus/ajaxpro/Ufida.T.CodeBehind._PriorityLevel,App_Code.ashx?method=GetStoreWarehouseByStore` ünvanına `System.Diagnostics.Process.Start` kimi ixtiyari metodları çağırmaq üçün hücumçunun idarə etdiyi .NET tiplərinin deserializasiyasından istifadə edən zərərli JSON gövdəsi ilə hazırlanmış sorğu göndərə bilər. Bu, T+ tətbiqinin servis hesabı kontekstində ixtiyari əmrlərin icrasıyla nəticələnə bilər. Eksploytasiya sübutları Shadowserver Foundation tərəfindən artıq 2023-08-19 (UTC) tarixində müşahidə edilmişdir.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| chanjetvip t\+ | v ≤ 16.000.000.0283 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.