CVE-2024-58374
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Hongjing e-HR zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym serwletu getSdutyTree, która pozwala zdalnym nieuwierzytelnionym atakującym na dostęp do chronionych zasobów poprzez podanie sekwencji path traversal w URI, aby ominąć filtr uwierzytelniania oauthservlet. Atakujący mogą wstrzykiwać ładunki SQL oparte na UNION przez niesanityzowany parametr codeitemid do zapytania Microsoft SQL Server, aby pobrać wrażliwe dane bazy danych, w tym poświadczenia użytkowników. Dowody wykorzystania zaobserwowano po raz pierwszy przez Shadowserver Foundation 2024-07-30 (UTC).
Ocena ryzyka
Zdalny nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych, w tym poświadczeń użytkowników, co może prowadzić do naruszenia poufności i dalszych ataków.
Rekomendacja
Należy natychmiast zastosować poprawki dostarczone przez producenta Hongjing e-HR oraz przeprowadzić audyt bezpieczeństwa aplikacji pod kątem podatności SQL injection.
Oryginalny opis (angielski, źródło NVD)
Hongjing e-HR contains an unauthenticated SQL injection vulnerability in the getSdutyTree servlet endpoint that allows remote unauthenticated attackers to access protected resources by supplying a path traversal sequence in the request URI to bypass the oauthservlet authentication filter. Attackers can inject UNION-based SQL payloads through the unsanitized codeitemid parameter into the underlying Microsoft SQL Server query to retrieve sensitive database contents including user credentials. Exploitation evidence was first observed by the Shadowserver Foundation on 2024-07-30 (UTC).