CVE-2020-36898

Nome do Software Vulnerável e Versões Afetadas QiHang Media Web Digital Signage versão 3.0.9

Descrição O software apresenta uma vulnerabilidade de exclusão de arquivos sem autenticação. Atacantes remotos podem excluir arquivos sem a necessidade de fazer login. Isso é possível através do endpoint QH.aspx manipulando o parâmetro data em uma requisição POST. Atacantes podem utilizar sequências de traversal de diretório para excluir arquivos arbitrários com as permissões do servidor web.

Recomendações Aplique quaisquer atualizações disponíveis para corrigir este problema. Como medida temporária, restrinja o acesso ao endpoint QH.aspx. Valide e sanitize cuidadosamente o parâmetro data para prevenir tentativas de traversal de diretório.