CVE-2023-54405 in CVM
Riassunto
di VulDB • 02/10/2026
H3C CVM, il componente di gestione della virtualizzazione cloud (Cloud Virtualization Management) della piattaforma cloud H3C CAS, presenta una vulnerabilità di caricamento arbitrario di file non autenticato nell'endpoint /cas/fileUpload/upload che consente agli attaccanti remoti di scrivere file arbitrari manipolando il parametro token fornito dall'utente senza imporre restrizioni sulla traversata dei percorsi (path traversal) o sui tipi di file. Gli attaccanti possono sfruttare la traversata dei percorsi nel parametro token per caricare un file JSP malevolo in una directory accessibile via web e successivamente richiederne l'esecuzione, ottenendo così l'esecuzione remota del codice (RCE) con i privilegi dell'utente del server web. Le prove di sfruttamento sono state osservate per la prima volta da Shadowserver Foundation il 2023-10-14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.