CVE-2024-58385

KrytyczneCVSS 9.8

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Yonyou U8 CRM zawiera nieuwierzytelnioną podatność SQL injection w endpointcie konfiguracji fillbacksettingedit.php, gdzie parametr DontCheckLogin=1 omija uwierzytelnianie, a parametr id jest włączany do zapytań SQL bez sanityzacji. Atakujący mogą wykorzystać tę lukę do wykonania dowolnych poleceń SQL, a w przypadku wdrożeń Microsoft SQL Server z włączonym xp_cmdshell do zapisu plików backdoor i wykonania dowolnych poleceń systemowych. Dowody eksploatacji po raz pierwszy zaobserwowano przez Shadowserver Foundation w dniu 2025-02-13.

Ocena ryzyka

Podatność umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych poleceń SQL, a w niektórych konfiguracjach także poleceń systemowych, co może prowadzić do pełnego przejęcia serwera bazy danych i systemu.

Rekomendacja

Zastosuj poprawki dla Yonyou U8 CRM, które sanityzują parametr id i usuwają obejście uwierzytelniania, oraz wyłącz xp_cmdshell na serwerach Microsoft SQL Server.

Inne podatności w Yonyou U8 CRM

CVE-2023-54403Wysokie
Yonyou U8 CRM w wersjach przed V16.5 i V18 zawiera podatność na dowolne odczytanie plików w /ajax/getemaildata.php, która pozwala nieuwierzytelnionym atakującym na obejście uwierzytelniania za pomocą parametru DontCheckLogin=1 i odczyt dowolnych plików poprzez niezwalidowany parametr filePath. Atakujący mogą wykorzystać tę lukę do odczytu wrażliwych plików poza katalogiem aplikacji internetowej, w tym plików konfiguracyjnych zawierających poświadczenia do bazy danych lub usług. Dowody eksploatacji zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation w dniu 2023-10-14.

Oryginalny opis (angielski, źródło NVD)

Yonyou U8 CRM contains an unauthenticated SQL injection vulnerability in the fillbacksettingedit.php configuration endpoint where the DontCheckLogin=1 parameter bypasses authentication and the id parameter is incorporated into SQL queries without sanitization. Attackers can exploit this flaw to execute arbitrary SQL commands and, on Microsoft SQL Server deployments with xp_cmdshell enabled, write backdoor files and execute arbitrary operating system commands. Exploitation evidence was first observed by the Shadowserver Foundation on 2025-02-13.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS