PT-2026-55263
CVE-2024-14037
·
تاريخ النشر
2026-07-02
·
تاريخ التحديث
2026-10-02
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Redsea Cloud eHR (لم يتم تحديد الإصدارات المتأثرة)
الوصف
ثغرة في تحميل الملفات التعسفي تسمح للمهاجمين غير المصادق عليهم بتنفيذ التعليمات البرمجية عن بُعد. من خلال إرسال طلب POST متعدد الأجزاء إلى نقطة نهاية السيرفلت ’PtFjk.mob‘، يمكن للمهاجم تحميل واجهة ويب JSP. يفشل النظام في التحقق من صحة امتدادات الملفات وأنواع MIME، مما يسمح للمهاجم بتجاوز الإجراءات الأمنية عن طريق تزوير
Content-Type على أنه image/jpeg. يتم تخزين الملف الذي تم تحميله في مسار يمكن توقعه داخل دليل uploadfile ويمكن تنفيذه مباشرةً بواسطة خادم الويب. لوحظ الاستغلال الفعلي لأول مرة في 3 نوفمبر 2024 (UTC).التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾