CVE-2024-58374
Açıklama
Hongjing e-HR, getSdutyTree servlet uç noktasında kimlik doğrulaması gerektirmeyen bir SQL enjeksiyonu güvenlik açığı içermektedir; bu açık, uzaktan kimlik doğrulaması yapmamış saldırganların oauthservlet kimlik doğrulama filtresini atlatmak için istek URI'sinde bir dizin geçişi dizisi sağlayarak korunan kaynaklara erişmesine olanak tanır. Saldırganlar, temizlenmemiş codeitemid parametresi aracılığıyla temel Microsoft SQL Server sorgusuna UNION tabanlı SQL yükleri enjekte ederek kullanıcı kimlik bilgileri dahil hassas veritabanı içeriklerini elde edebilir. Sömürü kanıtı ilk olarak Shadowserver Foundation tarafından 2024-07-30 (UTC) tarihinde gözlemlenmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Hongjing Century e-HR | 0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.