CVE-2023-51892
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
W systemie weaver e-cology w wersji 10.0.2310.01 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt wysłany do komponentu FrameworkShellController.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować złośliwe oprogramowanie, co stanowi krytyczne zagrożenie dla poufności, integralności i dostępności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować system weaver e-cology do najnowszej dostępnej wersji oraz ograniczyć dostęp do komponentu FrameworkShellController tylko dla zaufanych adresów IP.
Inne podatności w weaver e-cology
Zobacz wszystkie- CVE-2022-4995Krytyczne
Weaver (Fanwei) E-cology 9.0 w wersjach przed 10.52 zawiera podatność na przesyłanie plików, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przesłanie dowolnych plików, w tym webshelli JSP, poprzez wysłanie żądania POST do /workrelate/plan/util/uploaderOperate.jsp. Udane wykorzystanie prowadzi do zdalnego wykonania kodu.
- CVE-2022-50997Wysokie
Weaver (Fanwei) E-cology 8.0 i 9.0 zawiera podatność na wstrzykiwanie SQL w punkcie końcowym HrmCareerApplyPerView.jsp, która pozwala nieuwierzytelnionym zdalnym atakującym na wyodrębnienie dowolnych danych z bazy danych poprzez manipulację parametrem id. Atakujący może wysłać pojedyncze spreparowane żądanie GET z ładunkiem UNION, aby pobrać dowolne dane z bazy Microsoft SQL Server. Podatność jest prawdopodobnie naprawiona w wersji 10.53 lub 10.54. Pierwsze dowody wykorzystania zaobserwowano 2023-10-18.
- CVE-2016-20097Wysokie
Weaver (Fanwei) E-cology 8.0 zawiera podatność na wstrzykiwanie SQL w serwlecie SignatureDownLoad, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt dowolnych plików poprzez wstrzyknięcie ładunku UNION SELECT do parametru markId. Atakujący może kontrolować ścieżkę pliku, co pozwala na odczyt wrażliwych plików, w tym plików konfiguracyjnych z danymi uwierzytelniającymi do bazy danych. Podatność została naprawiona, ale nie jest jasne, która wersja ją usunęła. Pierwsze dowody wykorzystania zaobserwowano 2023-10-18.
Oryginalny opis (angielski, źródło NVD)
An issue in weaver e-cology v.10.0.2310.01 allows a remote attacker to execute arbitrary code via a crafted script to the FrameworkShellController component.