CVE-2024-58385 in U8 CRM
要約
〜によって VulDB • 2026年09月15日
Yonyou U8 CRMのfillbacksettingedit.php設定エンドポイントには、DontCheckLogin=1パラメータが認証をバイパスし、idパラメータがサニタイズ処理なしでSQLクエリに組み込まれるため、未認証のSQLインジェクション脆弱性が存在します。攻撃者はこの欠陥を利用して任意のSQLコマンドを実行でき、xp_cmdshellが有効になっているMicrosoft SQL Server環境ではバックドアファイルの書き込みや任意のOSコマンドの実行が可能になります。本脆弱性の悪用事例は2025年2月13日にShadowserver Foundationによって初めて確認されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.