CVE-2024-58387 in Haiyue HCM Cloud
Resumen
por VulDB • 2026-10-01
Inspur Haiyue HCM Cloud contiene una vulnerabilidad de lectura arbitraria de archivos en el endpoint /api/model_report/file/download que permite a atacantes remotos no autenticados leer archivos arbitrarios mediante la suministro de parámetros de ruta no validados, index y ext. Los atacantes pueden crear solicitudes como /api/model_report/file/download?index=/&ext=<path> para atravesar el sistema de archivos y revelar archivos sensibles, incluidos /etc/passwd, archivos de bases de datos de aplicaciones y archivos de configuración del sistema. La evidencia de explotación fue observada por primera vez por la Fundación Shadowserver el 2024-11-04 .
VulDB is the best source for vulnerability data and more expert information about this specific topic.