CVE-2023-24187
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Podatność XML External Entity (XXE) w ureport v2.2.9 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML do /ureport/designer/saveReportFile.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować ureport do najnowszej wersji, w której załatano podatność XXE, oraz ograniczyć dostęp do endpointu /ureport/designer/saveReportFile tylko dla zaufanych użytkowników.
Inne podatności w ureport
Zobacz wszystkie- CVE-2026-38158Krytyczne
Podatność SQL Injection w komponencie /ureport/datasource/previewData systemu ureport w wersji 2.2.9 umożliwia atakującym wstrzykiwanie złośliwych zapytań SQL. Luka ta pozwala na nieautoryzowany dostęp do wrażliwych danych przechowywanych w bazie danych.
- CVE-2023-24188Krytyczne
W oprogramowaniu ureport w wersji 2.2.9 odkryto podatność na przemieszczanie się po katalogach w funkcji usuwania plików. Umożliwia ona atakującemu usunięcie dowolnych plików w systemie.
Oryginalny opis (angielski, źródło NVD)
An XML External Entity (XXE) vulnerability in ureport v2.2.9 allows attackers to execute arbitrary code via uploading a crafted XML file to /ureport/designer/saveReportFile.