CVE-2026-49827 in WebErpMesv2
Zusammenfassung
von VulDB • 13.08.2026
WebErpMesv2 è un sistema di gestione delle risorse e esecuzione della produzione (Manufacturing Execution System) per il settore industriale. Le versioni 1.19 e precedenti consentono a qualsiasi utente auto-registrato di caricare file PHP arbitrari tramite il parametro HR Expense `scan_file`, portando all'Esecuzione Remota di Codice (RCE). Combinata con la registrazione aperta (nessun invito richiesto) e un middleware dei ruoli difettoso (`CheckUserRole` assorbe silenziosamente le eccezioni `RouteNotFoundException`), questa catena costituisce essenzialmente una RCE non autenticata contro qualsiasi installazione predefinita. Il problema è stato risolto nel commit 5c54862fa044b363fd2be03d586750e81afd6818.
If you want to get best quality of vulnerability data, you may have to visit VulDB.