CVE-2022-4995

Nome do Software Vulnerável e Versões Afetadas Weaver (Fanwei) E-cology 9.0 versões anteriores a 10.52

Description Uma falha de upload de arquivo permite que um atacante remoto não autenticado envie arquivos arbitrários, como webshells JSP. Isso é feito através do envio de uma requisição POST multipart/form-data para o endpoint '/workrelate/plan/util/uploaderOperate.jsp' utilizando valores arbitrários para as variáveis secId e plandetailid. A exploração bem-sucedida permite a execução remota de código com os privilégios do processo do servidor de aplicação. Evidências de exploração foram observadas pela primeira vez pela Shadowserver Foundation em 14-10-2023 (UTC).

Recommendations Atualize o Weaver (Fanwei) E-cology 9.0 para a versão 10.52 ou posterior. Restrinja o acesso ao endpoint '/workrelate/plan/util/uploaderOperate.jsp' para minimizar o risco de exploração.