FineReport 9.0 contains a path traversal vulnerability in the /WebReport/ReportServer...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
帳票ツール FineReport 9.0 に、ログインなしで外部からサーバーへ任意のファイルを書き込める弱点があり、遠隔操作につながるおそれがあります。実際の悪用の兆候は 2023年10月14日 に Shadowserver Foundation が最初に観測したと報告されています。FineReport 9.0 を使っている組織は、インターネットから到達できるかを確認し、到達できる場合は遮断と侵害の有無の調査を優先してください。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| FanRuan | FineReport | — | — |
Description d'origine La description telle que publiée par la source (souvent en anglais).
FineReport 9.0 contains a path traversal vulnerability in the /WebReport/ReportServer design_save_svg operation that allows unauthenticated attackers to write arbitrary files via the filePath parameter. Attackers can send a POST request with directory traversal sequences in filePath and a CONTENT payload to write a JSP webshell and achieve remote code execution. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
Références
- web github.com
- web github.com
- web github.com
- web fanruan.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com