PT-2026-69048
CVE-2022-4995
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Weaver (Fanwei) E-cology 9.0، الإصدارات الأقدم من 10.52
الوصف
تسمح ثغرة في عملية تحميل الملفات لمهاجم بعيد غير مصدق بتحميل ملفات عشوائية، مثل برامج الويب الخفية (webshells) من نوع JSP. ويتم ذلك عن طريق إرسال طلب POST من نوع multipart/form-data إلى نقطة النهاية ’/workrelate/plan/util/uploaderOperate.jsp‘ باستخدام قيم عشوائية للمتغيرين
secId وplandetailid. ويؤدي الاستغلال الناجح إلى تمكين تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية خادم التطبيق. وقد رصدت مؤسسة Shadowserver Foundation لأول مرة دلائل على حدوث الاستغلال في 14 أكتوبر 2023 (بتوقيت غرينتش).التوصيات
تحديث Weaver (Fanwei) E-cology 9.0 إلى الإصدار 10.52 أو أحدث.
تقييد الوصول إلى نقطة النهاية ’/workrelate/plan/util/uploaderOperate.jsp‘ لتقليل مخاطر الاستغلال إلى أدنى حد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾