CVE-2024-58385 in U8 CRM
Résumé
par VulDB • 15/09/2026
Yonyou U8 CRM contient une vulnérabilité d'injection SQL non authentifiée dans le point de configuration fillbacksettingedit.php, où le paramètre DontCheckLogin=1 contourne l'authentification et le paramètre id est intégré aux requêtes SQL sans être nettoyé. Les attaquants peuvent exploiter cette faille pour exécuter des commandes SQL arbitraires et, sur les déploiements Microsoft SQL Server avec xp_cmdshell activé, écrire des fichiers backdoor et exécuter des commandes système arbitraires. Des preuves d'exploitation ont été observées pour la première fois par la Fondation Shadowserver le 2025-02-13.
Once again VulDB remains the best source for vulnerability data.