上海灵当信息科技有限公司 Lingdang CRM pdf.php path traversal 漏洞信息(CVE-2024-11123)

一、漏洞 CVE-2024-11123 基础信息

漏洞标题

灵当CRM(pdf.php)存在目录穿越漏洞

来源：AIGC 神龙大模型

漏洞描述信息

在上海灵当信息科技有限公司 Lingdang CRM 8.6.4.3 及以下版本中发现了一个被归类为有问题的漏洞。该漏洞影响文件 /crm/data/pdf.php 的未知部分。通过操纵参数 url 并输入 ../config.inc.php 可导致目录遍历。该漏洞可以通过远程方式发起攻击。此漏洞的利用方法已被公开披露并且可能被利用。已提前联系厂商告知此披露情况，但厂商未作出任何回应。

来源：AIGC 神龙大模型

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

来源：AIGC 神龙大模型

漏洞类别

对路径名的限制不恰当(路径遍历)

来源：AIGC 神龙大模型

漏洞标题

上海灵当信息科技有限公司 Lingdang CRM pdf.php path traversal

来源：美国国家漏洞数据库 NVD

漏洞描述信息

A vulnerability, which was classified as problematic, was found in 上海灵当信息科技有限公司 Lingdang CRM up to 8.6.4.3. This affects an unknown part of the file /crm/data/pdf.php. The manipulation of the argument url with the input ../config.inc.php leads to path traversal. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

对路径名的限制不恰当(路径遍历)

来源：美国国家漏洞数据库 NVD

漏洞标题

Lingdang CRM 路径遍历漏洞

来源：中国国家信息安全漏洞库 CNNVD

漏洞描述信息

Lingdang CRM（灵当CRM）是中国灵当（Lingdang）公司的一个客户关系管理系统。 Lingdang CRM 8.6.4.3及之前版本存在路径遍历漏洞，该漏洞源于文件/crm/data/pdf.php的参数url会导致路径遍历。

来源：中国国家信息安全漏洞库 CNNVD

CVSS信息

N/A

来源：中国国家信息安全漏洞库 CNNVD

漏洞类别

路径遍历

来源：中国国家信息安全漏洞库 CNNVD

二、漏洞 CVE-2024-11123 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2024-11123 的情报信息

标题： 【原创】上海灵当信息科技有限公司 Lingdang CRM <= 8.6.4.3 任意⽂件读取漏洞 | 安全团队贡献平台 -- 🔗来源链接

标签： exploit
神龙速读
标题： CVE-2024-11123 上海灵当信息科技有限公司 Lingdang CRM pdf.php path traversal -- 🔗来源链接

标签： signature permissions-required
神龙速读
标题： CVE-2024-11123 上海灵当信息科技有限公司 Lingdang CRM pdf.php path traversal -- 🔗来源链接

标签： vdb-entry technical-description
神龙速读
标题： Submit #436677: 上海灵当信息科技有限公司 Lingdang CRM <= 8.6.4.3 arbitrary file read -- 🔗来源链接

标签： third-party-advisory
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2024-11123