CVE-2022-50973
Açıklama
Yonyou KSOA 9.0, com.sksoft.bill.ImageUpload servlet bileşeninde kimlik doğrulaması gerektirmeyen rastgele dosya yükleme zafiyeti içermektedir; bu durum, kimliği doğrulanmamış saldırganların herhangi bir kimlik doğrulama, dosya türü, uzantı veya içerik doğrulaması olmaksızın, saldırgan tarafından kontrol edilen filepath ve filename parametrelerini içeren bir POST isteği göndererek rastgele dosyalar yüklemesine olanak tanır. Saldırganlar, kötü amaçlı bir filename ve root filepath belirterek bir JSP webshell yükleyebilirler; yüklenen dosya pictures dizini altında saklanır ve doğrudan web sunucusu tarafından çalıştırılarak kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya yol açar. İstismara dair kanıtlar ilk olarak 2023-11-07 (UTC) tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Yonyou Network Technology Co., Ltd. KSOA | 9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.