CVE-2021-48013
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Weaver E-cology 8.0 zawiera podatność path traversal, która pozwala nieuwierzytelnionym atakującym odczytać dowolne pliki poprzez parametr fpath endpointu /weaver/ln.FileDownload. Atakujący mogą wysyłać spreparowane żądania GET z sekwencjami przejścia katalogów w fpath, aby pobrać wrażliwe pliki, takie jak WEB-INF/web.xml z serwera.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać poufne pliki konfiguracyjne i inne dane, co może ułatwić dalsze ataki na system. Istnieją dowody na aktywne wykorzystanie podatności.
Rekomendacja
Zaktualizuj Weaver E-cology do wersji, która naprawia tę podatność (skontaktuj się z dostawcą). Ogranicz dostęp do endpointu /weaver/ln.FileDownload i monitoruj podejrzane żądania.
Inne podatności w Weaver E-cology
Zobacz wszystkie- CVE-2022-4995Krytyczne
Weaver (Fanwei) E-cology 9.0 w wersjach przed 10.52 zawiera podatność na przesyłanie plików, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przesłanie dowolnych plików, w tym webshelli JSP, poprzez wysłanie żądania POST do /workrelate/plan/util/uploaderOperate.jsp. Udane wykorzystanie prowadzi do zdalnego wykonania kodu.
- CVE-2023-51892Krytyczne
W systemie weaver e-cology w wersji 10.0.2310.01 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt wysłany do komponentu FrameworkShellController.
- CVE-2025-71434Wysokie
Weaver E-cology w wersjach 8.0, 9.0 i 10.0 przed 10.76 zawiera podatność na wstrzyknięcie SQL bez uwierzytelnienia w endpoincie /api/doc/out/more/list poprzez parametr elementmore z srcType=2. Atakujący mogą wstrzykiwać SQL przez pola doc_datefrom/doc_dateto i odczytywać wyniki przez /api/ec/dev/table/counts w celu wyciągnięcia informacji z bazy danych.
- CVE-2019-25776Wysokie
Weaver E-cology zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym wykonywać dowolne zapytania SQL poprzez parametr userIdentifiers w punkcie końcowym pluginu mobilnego. Atakujący mogą ominąć filtry oparte na spacjach, zawijając słowa kluczowe SQL w nawiasy, aby przeprowadzić atak typu UNION i wyodrębnić wrażliwe dane, w tym hasze haseł administratorów.
- CVE-2022-50997Wysokie
Weaver (Fanwei) E-cology 8.0 i 9.0 zawiera podatność na wstrzykiwanie SQL w punkcie końcowym HrmCareerApplyPerView.jsp, która pozwala nieuwierzytelnionym zdalnym atakującym na wyodrębnienie dowolnych danych z bazy danych poprzez manipulację parametrem id. Atakujący może wysłać pojedyncze spreparowane żądanie GET z ładunkiem UNION, aby pobrać dowolne dane z bazy Microsoft SQL Server. Podatność jest prawdopodobnie naprawiona w wersji 10.53 lub 10.54. Pierwsze dowody wykorzystania zaobserwowano 2023-10-18.
- CVE-2016-20097Wysokie
Weaver (Fanwei) E-cology 8.0 zawiera podatność na wstrzykiwanie SQL w serwlecie SignatureDownLoad, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt dowolnych plików poprzez wstrzyknięcie ładunku UNION SELECT do parametru markId. Atakujący może kontrolować ścieżkę pliku, co pozwala na odczyt wrażliwych plików, w tym plików konfiguracyjnych z danymi uwierzytelniającymi do bazy danych. Podatność została naprawiona, ale nie jest jasne, która wersja ją usunęła. Pierwsze dowody wykorzystania zaobserwowano 2023-10-18.
Oryginalny opis (angielski, źródło NVD)
Weaver E-cology 8.0 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files through the fpath parameter of the /weaver/ln.FileDownload endpoint. Attackers can send crafted GET requests with directory traversal sequences in fpath to retrieve sensitive files such as WEB-INF/web.xml from the server. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS