跳到主要内容

高危

Samsung MagicINFO 9 Server路径遍历漏洞(CVE-2024-7399)

2024-08-09 04:43:29 公开 ，2026-05-08 11:00:32 更新

  • CISA KEV
  • 关键漏洞
  • CWE Top 25 (2023)
  • 远程
  • CWE Top 25 (2024)
  • 公开PoC
CWEs：
CWE-22 （Path Traversal） 、 CWE-434 （Unrestricted Upload of File with Dangerous Type）
CAPEC：
CAPEC-650 （Upload a Web Shell to a Web Server）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2025-05-07 08:00:00

风险信息

CVSS v3 向量
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3 风险值
8.8
CVSS v3.1 向量
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
8.8

详细信息

漏洞类型
其他
漏洞描述
SAMSUNG MagicINFO是韩国三星（SAMSUNG）公司的一款用于管理和远程控制数字标牌显示器的内容管理系统。 SAMSUNG MagicINFO 21.1050及之前版本存在安全漏洞，/MagicInfo/servlet/SWUpdateFileUploader的SWUpdateFileUploadServlet类在处理文件上传时，未能有效验证用户身份、过滤文件名输入和检查文件扩展名，导致未认证攻击者可以上传恶意JSP文件并以SYSTEM权限执行任意代码。
修复建议
升级至Samsung MagicINFO 9 Server 21.1052或更高版本，参考链接： https://security.samsungtv.com/securityUpdates

参考链接