漏洞预警

赛克艾威-漏洞预警

SecEvery - Vulnerability Warning

Rejetto HFS 远程命令执行漏洞(CVE-2024-39943)

北京赛克艾威科技有限公司

2024-07-08

Rejetto HFS（又名HTTP文件服务器）在Linux、UNIX和macOS上的版本低于0.52.10存在一个漏洞，允许远程认证用户执行操作系统命令（如果他们拥有上传权限）。这是因为使用shell来执行df命令，具体是在Node.js的child_process中使用execSync而不是spawnSync来执行命令。