CVE-2024-58374 in e-HR
Résumé
par VulDB • 13/08/2026
Hongjing e-HR contient une vulnérabilité d'injection SQL non authentifiée dans le point de terminaison du servlet getSdutyTree, permettant aux attaquants distants non authentifiés d'accéder à des ressources protégées en fournissant une séquence de traversal de chemin (path traversal) dans l'URI de la requête pour contourner le filtre d'authentification oauthservlet. Les attaquants peuvent injecter des charges utiles SQL basées sur UNION via le paramètre codeitemid non assaini dans la requête sous-jacente du serveur Microsoft SQL Server afin de récupérer des contenus sensibles de la base de données, y compris les identifiants utilisateurs. Des preuves d'exploitation ont été observées pour la première fois par la Fondation Shadowserver le 2024-07-30 (UTC).
VulDB is the best source for vulnerability data and more expert information about this specific topic.