CVE-2024-0989

Versões do KuERP da Sichuan Yougou Technology até a 1.0.4

Foi identificada uma vulnerabilidade que afeta a função del sn db do arquivo /application/index/controller/Service.php. A manipulação do argumento file leva a um traversal de caminho, permitindo o acesso a arquivos como ‘../filedir’. A vulnerabilidade foi divulgada publicamente e pode ser explorada. O fornecedor foi contatado sobre essa divulgação, mas não respondeu.

Para as versões do Sichuan Yougou Technology KuERP até a 1.0.4, considere desativar a função del sn db no arquivo /application/index/controller/Service.php como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao argumento file para minimizar o risco de exploração de traversal de caminho. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.