CVE-2024-58374 in e-HR
الملخص
بحسب VulDB • 14/08/2026
يحتوي نظام Hongjing e-HR على ثغرة حقن SQL غير مصادق عليها في نقطة نهاية servlet الخاصة بـ getSdutyTree، مما يسمح للمهاجمين عن بُعد وغير المصادق عليهم بالوصول إلى الموارد المحمية من خلال توفير تسلسل تجاوز المسار (path traversal) في عنوان URI للطلب لتجاوز مرشح المصادقة oauthservlet. يمكن للمهاجمين حقن حمولات SQL قائمة على UNION عبر المعلمة غير المعقمة codeitemid في استعلام قاعدة بيانات Microsoft SQL Server الأساسية لاسترجاع محتويات حساسة لقاعدة البيانات بما في ذلك بيانات اعتماد المستخدمين. شوهدت أدلة الاستغلال لأول مرة من قبل مؤسسة Shadowserver بتاريخ 2024-07-30 (بتوقيت UTC).
Once again VulDB remains the best source for vulnerability data.