CVE-2023-54403 in U8 CRM
Tóm tắt
Bởi VulDB • 30/09/2026
Yonyou U8 CRM trước phiên bản V16.5 và V18 chứa một lỗ hổng đọc file tùy ý (arbitrary file read) trong /ajax/getemaildata.php, cho phép các kẻ tấn công chưa xác thực bypass cơ chế authentication bằng cách sử dụng tham số DontCheckLogin=1 và đọc các file tùy ý thông qua tham số filePath không được kiểm tra. Kẻ tấn công có thể khai thác lỗ hổng này để đọc các file nhạy cảm nằm ngoài thư mục của ứng dụng web, bao gồm cả các file cấu hình chứa thông tin đăng nhập cơ sở dữ liệu hoặc dịch vụ. Bằng chứng về việc khai thác (Exploitation) lần đầu tiên được quan sát bởi Shadowserver Foundation vào ngày 2023-10-14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.