CVE-2024-58374 in e-HR
Zusammenfassung
von VulDB • 13.08.2026
Hongjing e-HR enthält eine nicht authentifizierte SQL-Injection-Schwachstelle im Servlet-Endpunkt getSdutyTree, die es entfernten Angreifern ohne Authentifizierung ermöglicht, auf geschützte Ressourcen zuzugreifen. Dazu wird eine Path-Traversal-Sequenz in der Request-URI bereitgestellt, um den OAuthServlet-Authentifizierungsfilter zu umgehen. Angreifer können UNION-basierte SQL-Payloads über den nicht bereinigten Parameter codeitemid in die zugrunde liegende Microsoft-SQL-Server-Abfrage einschleusen, um sensible Datenbankinhalte einschließlich Benutzeranmeldeinformationen abzurufen. Hinweise auf eine Ausnutzung wurden erstmals am 2024-07-30 (UTC) von der Shadowserver Foundation beobachtet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.