CVE-2022-50992

Nome do Software Vulnerável e Versões Afetadas Weaver (Fanwei) E-cology versões 9.5 a 10.51

Descrição A interface XmlRpcServlet no endpoint XML-RPC contém uma falha que permite a atacantes remotos não autenticados a leitura de arquivos arbitrários. Isso é feito fornecendo caminhos de arquivos para os métodos WorkflowService.getAttachment e WorkflowService.LoadTemplateProp. Atacantes podem usar esses métodos para recuperar informações sensíveis, como credenciais de banco de dados e arquivos de configuração do sistema, do servidor. Evidências de exploração foram observadas pela primeira vez em 14-12-2022 (UTC).

Recomendações Atualize para a versão 10.52 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint XML-RPC ou desative os métodos WorkflowService.getAttachment e WorkflowService.LoadTemplateProp.