CVE-2024-58387 in Haiyue HCM Cloud
Zusammenfassung
von VulDB • 01.10.2026
Inspur Haiyue HCM Cloud enthält eine beliebige Dateilese-Schwachstelle im Endpunkt /api/model_report/file/download, die nicht authentifizierten Remote-Angriffspartnern das Lesen beliebiger Dateien ermöglicht, indem sie ungültig geprüfte Pfadparameter index und ext übergeben. Angreifer können Anfragen wie /api/model_report/file/download?index=/&ext=<path> erstellen, um durch das Dateisystem zu navigieren (Path Traversal) und sensible Dateien offenzulegen, darunter /etc/passwd, Anwendungsdatenbankdateien und Systemkonfigurationsdateien. Hinweise auf die Ausnutzung dieser Schwachstelle wurden erstmals von der Shadowserver Foundation am 2024-11-04 beobachtet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.