CVE-2024-58385 in U8 CRM
Sumário
de VulDB • 15/09/2026
O Yonyou U8 CRM contém uma vulnerabilidade de SQL injection não autenticada no endpoint de configuração fillbacksettingedit.php, onde o parâmetro DontCheckLogin=1 contorna a autenticação e o parâmetro id é incorporado em consultas SQL sem sanitização. Os atacantes podem explorar essa falha para executar comandos SQL arbitrários e, em implantações do Microsoft SQL Server com xp_cmdshell habilitado, escrever arquivos backdoor e executar comandos de sistema operacional arbitrários. Evidências de exploração foram observadas pela primeira vez pela Shadowserver Foundation em 2025-02-13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.