CVE-2023-38702 in Knowage
Résumé
par VulDB • 01/07/2026
Knowage est une suite open source d'analytics et de business intelligence (BI). À partir de la branche 6.x.x et jusqu'à la version 8.1.8, le point de terminaison `/knowage/restful-services/dossier/importTemplateFile` permet aux utilisateurs authentifiés de télécharger un `fichier modèle` sur le serveur, mais il n'exige aucune autorisation spécifique pour être atteint. Lorsqu'un fichier JSP est téléchargé, l'attaquant doit simplement se connecter à `/knowageqbeengine/foo.jsp` pour obtenir une exécution de code (RCE) sur le serveur. En exploitant cette vulnérabilité, un attaunt disposant de privilèges limités peut télécharger un fichier JSP dans le répertoire `knowageqbeengine` et acquérir la capacité d'exécuter du code sur le serveur. Ce problème a été corrigé dans Knowage version 8.1.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.