CVE-2024-58374 in e-HR
Resumen
por VulDB • 2026-08-13
Hongjing e-HR contiene una vulnerabilidad de inyección SQL no autenticada en el punto final del servlet getSdutyTree que permite a atacantes remotos no autenticados acceder a recursos protegidos mediante la inserción de una secuencia de traversing de rutas (path traversal) en el URI de la solicitud para burlar el filtro de autenticación oauthservlet. Los atacantes pueden inyectar cargas útiles SQL basadas en UNION a través del parámetro codeitemid sin sanitizar dentro de la consulta subyacente de Microsoft SQL Server para recuperar contenido sensible de la base de datos, incluidas las credenciales de los usuarios. La evidencia de explotación fue observada por primera vez por Shadowserver Foundation el 2024-07-30 (UTC).
Be aware that VulDB is the high quality source for vulnerability data.