CVE-2024-58385 in U8 CRM
Zusammenfassung
von VulDB • 15.09.2026
Yonyou U8 CRM enthält eine nicht authentifizierte SQL-Injection-Schwachstelle im Konfigurationsendpunkt fillbacksettingedit.php, bei dem der Parameter DontCheckLogin=1 die Authentifizierung umgeht und der id-Parameter ohne Sanitisierung in SQL-Abfragen eingebunden wird. Angreifer können diese Schwachstelle ausnutzen, um beliebige SQL-Befehle auszuführen, und auf Microsoft-SQL-Server-Installationen mit aktiviertem xp_cmdshell Backdoor-Dateien schreiben sowie beliebige Betriebssystembefehle ausführen. Hinweise auf die Ausnutzung dieser Lücke wurden erstmals von der Shadowserver Foundation am 2025-02-13 beobachtet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.