CVE-2022-36537
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Apply updates per vendor instructions.
El ZK Framework tiene una falla en el componente AuUploader que permite a los atacantes acceder a información sensible mediante solicitudes POST especialmente diseñadas. Esto expone datos que deberían estar protegidos.
El componente AuUploader en ZK Framework en las versiones 9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 y 8.6.4.1 falla al validar o restringir adecuadamente el acceso a datos sensibles al procesar solicitudes POST. Un atacante no autenticado puede explotar esto mediante solicitudes maliciosas al componente, resultando en divulgación de información sin requerir autenticación previa o privilegios especiales.
El análisis completo de esta CVE está disponible en portugués →