CVE-2024-39165
CriticalSummary
W wersjach Asial JpGraph Professional do 4.2.6-pro, atakujący zdalnie mogą wykonać dowolny kod poprzez przesłanie ładunku PHP w parametrze data, w połączeniu z nazwą pliku .php w parametrze filename. Problem wynika z niepotrzebnego folderu QR/demoapp dołączonego do produktu.
Risk Assessment
Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Recommendation
Zaleca się usunięcie folderu QR/demoapp oraz aktualizację do najnowszej wersji Asial JpGraph Professional, aby zminimalizować ryzyko związane z tą podatnością.
Original NVD description (English source)
QR/demoapp/qr_image.php in Asial JpGraph Professional through 4.2.6-pro allows remote attackers to execute arbitrary code via a PHP payload in the data parameter in conjunction with a .php file name in the filename parameter. This occurs because an unnecessary QR/demoapp folder.is shipped with the product.