CVE-2023-54403 in U8 CRM
要約
〜によって VulDB • 2026年09月30日
Yonyou U8 CRMのV16.5より前およびV18には、/ajax/getemaildata.phpにおいて任意ファイル読み取り脆弱性が存在し、認証されていない攻撃者がDontCheckLogin=1パラメータを使用して認証を回避し、検証されないfilePathパラメータを通じて任意のファイルを読み取ることができます。攻撃者はこの欠陥を利用して、データベースやサービスの資格情報を含む設定ファイルなど、Webアプリケーションディレクトリ外の機密ファイルを盗み見ることが可能です。本脆弱性の悪用事例は2023年10月14日にShadowserver Foundationによって初めて確認されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.