CVE-2024-23052
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
W WukongCRM w wersji 72crm_9.0.1_20191202 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję parseObject() w komponencie fastjson.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem CRM, co prowadzi do kradzieży danych klientów, modyfikacji bazy danych lub całkowitego przejęcia systemu.
Rekomendacja
Należy natychmiast zaktualizować WukongCRM do najnowszej wersji oraz zastosować poprawkę bezpieczeństwa dla komponentu fastjson.
Inne podatności w fastjson
Zobacz wszystkie- CVE-2026-16723Krytyczne
Podatność na zdalne wykonanie kodu (RCE) w fastjson w wersjach 1.2.68 do 1.2.83. Podatność jest wykorzystywana przy domyślnej konfiguracji, bez konieczności włączania AutoType ani posiadania gadżetów na ścieżce klas.
- CVE-2025-70974Krytyczne
Podatność w Fastjson przed wersją 1.2.48 umożliwia atakującemu wstrzyknięcie JNDI poprzez manipulację kluczem @type w dokumencie JSON. Atakujący może wywołać publiczne metody określonej klasy Java, co prowadzi do zdalnego wykonania kodu. Luka była aktywnie wykorzystywana w latach 2023-2025.
Oryginalny opis (angielski, źródło NVD)
An issue in WuKongOpenSource WukongCRM v.72crm_9.0.1_20191202 allows a remote attacker to execute arbitrary code via the parseObject() function in the fastjson component.