CVE-2023-51927
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W systemie YonBIP v3_23.05 wykryto podatność na wstrzykiwanie SQL w metodzie runScript() kontrolera AttendScriptController. Atakujący może wykorzystać ten błąd do wykonania dowolnych zapytań SQL.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych danych, ich modyfikację lub usunięcie, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować YonBIP do najnowszej wersji oraz zastosować parametryzację zapytań SQL w metodzie runScript().
Inne podatności w YonBIP
Zobacz wszystkie- CVE-2023-51925Krytyczne
W systemie YonBIP v3_23.05 wykryto podatność polegającą na dowolnym przesyłaniu plików w metodzie nccloud.web.arcp.taskmonitor.action.ArcpUploadAction.doAction(). Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2023-51924Krytyczne
Podatność umożliwiająca dowolne wgrywanie plików w interfejsie uap.framework.rc.itf.IResourceManager systemu YonBIP v3_23.05. Atakujący może przesłać spreparowany plik, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2023-51906Krytyczne
W oprogramowaniu YonBIP w wersji v3_23.05 firmy Yonyou wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt wysłany do komponentu ServiceDispatcherServlet uap.framework.rc.itf.IResourceManager.
- CVE-2023-51928Krytyczne
W systemie YonBIP v3_23.05 wykryto podatność umożliwiającą dowolne przesyłanie plików w metodzie nccloud.web.arcp.taskmonitor.action.ArcpUploadAction.doAction(). Atakujący może przesłać spreparowany plik, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2023-51926Wysokie
W systemie YonBIP v3_23.05 wykryto podatność umożliwiającą dowolny odczyt plików przez komponent nc.bs.framework.comn.serv.CommonServletDispatcher. Atakujący może wykorzystać tę lukę do odczytu wrażliwych danych z serwera.
Oryginalny opis (angielski, źródło NVD)
YonBIP v3_23.05 was discovered to contain a SQL injection vulnerability via the com.yonyou.hrcloud.attend.web.AttendScriptController.runScript() method.