CVE-2024-58298
KrytyczneStreszczenie
Compuware iStrobe Web 20.13 zawiera podatność zdalnego wykonywania kodu przed uwierzytelnieniem, która pozwala nieuwierzytelnionym atakującym przesyłać złośliwe pliki JSP poprzez path traversal w formularzu przesyłania plików. Atakujący mogą wykorzystać parametr 'fileName' do przesłania webshella i wykonywania dowolnych poleceń, wysyłając żądania POST do przesłanego punktu końcowego JSP.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad serwerem, co prowadzi do całkowitej kompromitacji systemu i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Compuware iStrobe Web do najnowszej wersji oraz wdrożenie zabezpieczeń przed path traversal i nieautoryzowanym przesyłaniem plików.
Oryginalny opis (angielski, źródło NVD)
Compuware iStrobe Web 20.13 contains a pre-authentication remote code execution vulnerability that allows unauthenticated attackers to upload malicious JSP files through a path traversal in the file upload form. Attackers can exploit the 'fileName' parameter to upload a web shell and execute arbitrary commands by sending POST requests to the uploaded JSP endpoint.