Yonyou U8 CRM: Nicht authentifiziertes beliebiges Lesen von Dateien in getemaildata.php
Zusammenfassung
Yonyou U8 CRM in Versionen vor V16.5 und V18 enthält eine Schwachstelle zum beliebigen Lesen von Dateien in /ajax/getemaildata.php. Ein nicht authentifizierter Angreifer kann die Anmeldeprüfung mit dem Parameter DontCheckLogin=1 umgehen und über den nicht validierten Parameter filePath Dateien ausserhalb des Webverzeichnisses lesen. Konfigurationsdateien können Zugangsdaten zu Datenbanken oder Diensten offenlegen. Hinweise auf Ausnutzung wurden von Shadowserver erstmals am 2023-10-14 beobachtet.
Betroffen
- Yonyou U8 CRM vor V16.5 und V18 (gemäss CVE-Beschreibung)
- Die Quellen widersprechen sich: Der CNA-Eintrag nennt 16.1, 16.0, 15.1 und 13 als betroffen sowie 16.5 und 18 als nicht betroffen. Der genaue Umfang der betroffenen Versionen ist ohne Herstellerangaben nicht bestätigt.
Behoben in
- V16.5 und V18 (gemäss CVE-Beschreibung)
- Patch-Pakete und Build-Nummern: Unbekannt. Das Herstellerdokument konnte nicht überprüft werden.
Umgehung
- Unbekannt. Es wurde keine vom Hersteller bestätigte Massnahme gefunden.
- Externen Zugriff auf die Webanwendung von U8 CRM und ihre /ajax/-Pfade bis zum Patch einschränken.
Ausnutzung
- Hinweise auf Ausnutzung wurden von Shadowserver erstmals am 2023-10-14 beobachtet (CVE-Eintrag).
- Aufgeführt in der VulnCheck-KEV-Datenbank. Ein Eintrag in der CISA-KEV-Liste ist nicht bestätigt. CISA SSVC führt die Ausnutzung als keine.
- Eine öffentliche Beschreibung und eine Nuclei-Erkennungsvorlage sind verfügbar.
Unsere Empfehlung
- Prüfen, ob U8 CRM aus dem Internet erreichbar ist, und die installierte Version bestätigen.
- Auf V16.5 oder V18 aktualisieren, sobald das Herstellerpaket verifiziert ist.
- Externen Zugriff bis zur Behebung einschränken.
- Datenbank- und Dienst-Zugangsdaten in Konfigurationsdateien rotieren, falls eine Offenlegung möglich oder bestätigt ist.
- Webserver-Logs nach Anfragen an getemaildata.php mit DontCheckLogin oder filePath durchsuchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Yonyou security advisory 624 security.yonyou.com
- Nuclei detection template github.com
- PeiQi-WIKI-Book write-up github.com
- VulDB entry vuldb.com
- Strix CVE record www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:31.
Referenzen der NVD (5)
- https://github.com/PeiQi0/PeiQi-WIKI-Book/blob/main/docs/wiki/oa/%E7%94%A8%E5%8F%8BOA/%E7%94%A8%E5%8F%8B%20U8…
- https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/yonyou/yonyou-u8-crm-lfi.…
- https://security.yonyou.com/#/noticeInfo?id=624
- https://www.vulncheck.com/advisories/yonyou-u8-crm-arbitrary-file-read-via-getemaildata-php
- https://www.yonyou.com/Global/
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.