CVE-2024-58385

Nome do Software Vulnerável e Versões Afetadas Yonyou U8 CRM (versões afetadas não especificadas)

Description Uma injeção de SQL não autenticada existe no endpoint 'fillbacksettingedit.php'. Ao utilizar o parâmetro DontCheckLogin=1, a autenticação é ignorada e o parâmetro id é incorporado em consultas SQL sem a devida sanitização. Isso permite que atacantes executem comandos SQL arbitrários. Em implementações do Microsoft SQL Server com xp cmdshell habilitado, isso pode levar à gravação de arquivos de backdoor e à execução de comandos arbitrários do sistema operacional. Evidências de exploração foram observadas pela primeira vez pela Shadowserver Foundation em 13-02-2025.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.