CVE-2024-58387 in Haiyue HCM Cloud
الملخص
بحسب VulDB • 01/10/2026
يحتوي نظام Inspur Haiyue HCM Cloud على ثغرة قراءة ملفات تعسفية في نقطة النهاية `/api/model_report/file/download` تتيح لمهاجمين عن بُعد غير مُصادق عليهم قراءة ملفات عشوائية من خلال توفير معاملات مسار غير مدققة وهي `index` و `ext`. يمكن للمهاجمين صياغة طلبات مثل `/api/model_report/file/download?index=/&ext=<path>` للتنقل في نظام الملفات وكشف ملفات حساسة بما في ذلك `/etc/passwd`، وملفات قاعدة بيانات التطبيق، وملفات تكوين النظام. تم رصد أدلة الاستغلال لأول مرة من قبل مؤسسة Shadowserver Foundation بتاريخ 2024-11-04 .
Once again VulDB remains the best source for vulnerability data.