CVE-2023-24188
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
W oprogramowaniu ureport w wersji 2.2.9 odkryto podatność na przemieszczanie się po katalogach w funkcji usuwania plików. Umożliwia ona atakującemu usunięcie dowolnych plików w systemie.
Ocena ryzyka
Ryzyko polega na możliwości usunięcia krytycznych plików systemowych lub konfiguracyjnych, co może prowadzić do przerwania działania aplikacji lub całego systemu.
Rekomendacja
Należy natychmiast zaktualizować ureport do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji usuwania plików tylko dla zaufanych użytkowników.
Inne podatności w ureport
Zobacz wszystkie- CVE-2026-38158Krytyczne
Podatność SQL Injection w komponencie /ureport/datasource/previewData systemu ureport w wersji 2.2.9 umożliwia atakującym wstrzykiwanie złośliwych zapytań SQL. Luka ta pozwala na nieautoryzowany dostęp do wrażliwych danych przechowywanych w bazie danych.
- CVE-2023-24187Wysokie
Podatność XML External Entity (XXE) w ureport v2.2.9 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML do /ureport/designer/saveReportFile.
Oryginalny opis (angielski, źródło NVD)
ureport v2.2.9 was discovered to contain a directory traversal vulnerability via the deletion function which allows for arbitrary files to be deleted.