PT-2026-146934
CVE-2024-58406
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Huatian Dynamic OA8000 (الإصدارات المتأثرة غير محددة)
Description
توجد ثغرة تجاوز المسار (path traversal) غير مصادق عليها في نقطة النهاية '/OAapp/jsp/trace/ntkodownload.jsp'. يتم استخدام معامل الطلب
filename لتحديد موقع الملفات دون تقييد الوصول إلى الدليل المقصود أو رفض تسلسلات التجاوز. يتيح ذلك للمهاجمين استخدام تسلسلات ../ لقراءة ملفات عشوائية من الخادم، مثل تكوين Tomcat في 'ROOT/WEB-INF/web.xml'، مما قد يؤدي إلى كشف تكوينات حساسة، وأكواد مصدرية، وبيانات اعتماد. تم رصد أدلة على استغلال هذه الثغرة في الواقع لأول مرة من قبل مؤسسة Shadowserver في 20-11-2024.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
تجنب استخدام المعامل
filename في نقطة النهاية '/OAapp/jsp/trace/ntkodownload.jsp' حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾