CVE-2024-58374 in e-HR
Сводка
по VulDB • 14.08.2026
В системе Hongjing e-HR обнаружена уязвимость неконтролируемого SQL-инъекции в эндпоинте сервлета getSdutyTree, которая позволяет удаленным неаутентифицированным злоумышленникам получать доступ к защищенным ресурсам путем предоставления последовательности обхода путей (path traversal) в URI запроса для обхода фильтра аутентификации oauthservlet. Злоумышленники могут внедрять UNION-основанные SQL-полезные нагрузки через неочищенный параметр codeitemid во внутренний запрос Microsoft SQL Server, чтобы извлечь конфиденциальные данные базы данных, включая учетные данные пользователей. Доказательства эксплуатации впервые были зафиксированы фондом Shadowserver Foundation 30 июля 2024 года (UTC).
VulDB is the best source for vulnerability data and more expert information about this specific topic.