CVE-2023-54399

KrytyczneCVSS 9.8

Opublikowano: 18/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Streszczenie

Hongjing e-HR przed wersją 8.2 zawiera podatność na wstrzyknięcie SQL w punkcie końcowym /servlet/codesettree, gdzie parametr categories jest przekazywany do zapytania bez sanityzacji. Nieuwierzytelniony zdalny atakujący może użyć UNION SELECT do odczytania dowolnej zawartości bazy danych, w tym tabel z poświadczeniami.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych, w tym haseł użytkowników, co może prowadzić do naruszenia bezpieczeństwa całego systemu HR.

Rekomendacja

Zaktualizuj Hongjing e-HR do wersji 8.2 lub nowszej. Dodatkowo zastosuj filtrowanie wejścia i parametryzowane zapytania.

Inne podatności w Hongjing e-HR

CVE-2024-58374Wysokie
Hongjing e-HR zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym serwletu getSdutyTree, która pozwala zdalnym nieuwierzytelnionym atakującym na dostęp do chronionych zasobów poprzez podanie sekwencji path traversal w URI, aby ominąć filtr uwierzytelniania oauthservlet. Atakujący mogą wstrzykiwać ładunki SQL oparte na UNION przez niesanityzowany parametr codeitemid do zapytania Microsoft SQL Server, aby pobrać wrażliwe dane bazy danych, w tym poświadczenia użytkowników. Dowody wykorzystania zaobserwowano po raz pierwszy przez Shadowserver Foundation 2024-07-30 (UTC).

Oryginalny opis (angielski, źródło NVD)

Hongjing e-HR before 8.2 contains a SQL injection vulnerability in the /servlet/codesettree endpoint where the categories query parameter is passed to a database query without sanitization after HRMS-encoding is stripped. An unauthenticated remote attacker can supply a crafted UNION SELECT payload to read arbitrary database content, including credential tables such as operuser. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.