CVE-2024-46088
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność umożliwia nieautoryzowane przesyłanie plików w interfejsie ProductAction.entphone systemu Zhejiang University Entersoft Customer Resource Management System w wersjach od 2002 do 2024. Atakujący może przesłać spreparowany plik, co prowadzi do wykonania dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad systemem CRM, kradzież danych klientów oraz potencjalne wykorzystanie serwera do dalszych ataków w sieci wewnętrznej.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie systemu do najnowszej dostępnej wersji oraz wdrożenie mechanizmów walidacji typów i zawartości przesyłanych plików.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the ProductAction.entphone interface of Zhejiang University Entersoft Customer Resource Management System v2002 to v2024 allows attackers to execute arbitrary code via uploading a crafted file.