CVE-2024-3227

Versões do Panwei eoffice OA até a 9.5

Uma vulnerabilidade crítica afeta o componente Backend do software, especificamente o arquivo /general/system/interface/theme set/save image.php. A manipulação do argumento image type leva a um traversal de caminho, permitindo que um invasor acesse arquivos usando ‘../filedir’. Essa vulnerabilidade pode ser explorada remotamente. A exploração já foi divulgada publicamente.

Para versões até 9.5, considere desativar a função save image.php no diretório /general/system/interface/theme set/ até que um patch esteja disponível. Restrinja o acesso ao componente Backend vulnerável para minimizar o risco de exploração. Evite usar o argumento image type no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.