Przejdź do treści
Alerty bezpieczeństwa 2 min czytania

CVE-2024-14037: wgrywanie dowolnych plików i zdalne wykonanie kodu w Redsea Cloud eHR (CVSS 9.8)

Endpoint serwletu PtFjk.mob nie waliduje rozszerzenia ani typu MIME, więc webshell JSP z podrobionym Content-Type image/jpeg trafia pod przewidywalną ścieżkę...

Podsumowanie

ParametrWartość
CVE IDCVE-2024-14037
Źródło alertuGitHub Advisory - Krytyczna podatność
Rok publikacji CVE2024
Data publikacji2026-07-02
ProducentRedsea
ProduktCloud eHR
CVSS Score9.8 (Krytyczny)
EPSS ScoreBrak danych
CISA KEVNie
RansomwareNie potwierdzono

Opis podatności

Źródło: NVD

Redsea Cloud eHR zawiera podatność wgrywania dowolnych plików, która pozwala nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu przez wgranie złośliwych plików w endpoincie serwletu PtFjk.mob. Atakujący mogą wysłać wieloczęściowe żądanie POST z webshellem JSP ukrytym pod podrobionym Content-Type image/jpeg, aby ominąć brak walidacji rozszerzenia i typu MIME. Wgrany plik trafia pod przewidywalną ścieżkę w katalogu uploadfile i jest wykonywany bezpośrednio przez serwer WWW.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta niezwłocznie po ich udostępnieniu.

Kogo dotyczy?

Podatność dotyczy produktu Cloud eHR firmy Redsea. Sprawdź, czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła


Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.

Dowiedz się więcej

Udostępnij:

Porozmawiaj z ekspertem

Masz pytania dotyczące tego tematu? Skontaktuj się z naszym opiekunem.

Opiekun handlowy
Grzegorz Gnych

Grzegorz Gnych

Opiekun handlowy

Odpowiedź w ciągu 24 godzin
Bezpłatna konsultacja
Indywidualne podejście

Podanie numeru telefonu przyspieszy kontakt.

Chcesz obniżyć ryzyko i koszty IT?

Umów bezpłatną konsultację - odpowiemy w ciągu 24h

Odpowiedź w 24h Bezpłatna wycena Bez zobowiązań

Lub pobierz bezpłatny przewodnik:

Pobierz checklistę NIS2