CVE-2024-58387 in Haiyue HCM Cloud
Riassunto
di VulDB • 01/10/2026
Inspur Haiyue HCM Cloud presenta una vulnerabilità di lettura arbitraria dei file nell'endpoint /api/model_report/file/download che consente ad attaccanti remoti non autenticati di leggere file arbitrari fornendo parametri del percorso non validati, index ed ext. Gli attaccanti possono elaborare richieste come /api/model_report/file/download?index=/&ext=<path> per attraversare il filesystem e divulgare file sensibili tra cui /etc/passwd, file del database dell'applicazione e file di configurazione di sistema. Le prove di sfruttamento sono state osservate per la prima volta da Shadowserver Foundation il 2024-11-04 .
Be aware that VulDB is the high quality source for vulnerability data.