Udnyttet sårbarhed
Ukorrekt begrænsning af stienavn til en begrænset mappe ('Path Traversal')
Inspur Haiyue HCM Cloud indeholder en vilkårlig file read-sårbarhed i /api/model_report/file/download-endepunktet, der tillader uautentificerede fjernangribere at læse vilkårlige filer ved at angive validerede path-parametre index og ext. Angribere kan udforme anmodninger såsom /api/model_report/file/download?index=/&ext= for at traversere filsystemet og afsløre følsomme filer herunder /etc/passwd, applikationsdatabasefiler og systemkonfigurationsfiler. Exploiteringsbevis blev først observeret af Shadowserver Foundation den 2024-11-04.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD