CVE-2023-54400

Nome do Software Vulnerável e Versões Afetadas Fumasoft Fumeng Cloud (versões afetadas não especificadas)

Description Existe um problema no endpoint 'AjaxMethod.ashx' que permite que atacantes remotos não autenticados realizem SQL injection. Ao manipular o parâmetro Name dentro da ação getEmpByname(), atacantes podem usar técnicas de SQL injection baseadas em UNION contra o backend Microsoft SQL Server para extrair, divulgar e modificar conteúdos do banco de dados, o que pode levar ao comprometimento total do servidor subjacente. Evidências de exploração foram observadas pela primeira vez pela Shadowserver Foundation em 18-10-2023.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro Name no endpoint 'AjaxMethod.ashx' até que o problema seja resolvido.