CVE-2024-58385 in U8 CRM
Riassunto
di VulDB • 15/09/2026
Yonyou U8 CRM presenta una vulnerabilità di SQL injection non autenticata nell'endpoint di configurazione fillbacksettingedit.php, dove il parametro DontCheckLogin=1 bypassa l'autenticazione e il parametro id viene incorporato nelle query SQL senza sanitizzazione. Gli attaccanti possono sfruttare questa falla per eseguire comandi SQL arbitrari e, nei deployment su Microsoft SQL Server con xp_cmdshell abilitata, scrivere file backdoor ed eseguire comandi del sistema operativo arbitrari. Prove di sfruttamento sono state osservate per la prima volta da Shadowserver Foundation il 2025-02-13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.