9.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
SmartBI V8, V9, and V10 contain an unrestricted file upload vulnerability via the RMIServlet request handling logic. Under certain configurations or usage patterns, attackers can send specially crafted requests that cause the application to perform sensitive operations or execute arbitrary code on the host. The vendor released a fix in July 2023 to address the underlying flaw. VulnCheck has observed this vulnerability being exploited in the wild.
Засегнати продукти
- Guangzhou Smart Software Co., Ltd. SmartBI: V8 преди July 2023 update; V9 преди July 2023 update; V10 преди July 2023 update
Вид слабост
История
- 15 октомври 2025 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2023-7305
- https://nvd.nist.gov/vuln/detail/CVE-2023-7305
- https://www.smartbi.com.cn/patchinfo
- https://avd.aliyun.com/detail?id=AVD-2023-1673292
- https://jeyiuwai.pages.dev/posts/1day-%E8%B7%9F%E8%B8%AAsmartbi-rmiservlet-%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E/
- https://www.vulncheck.com/advisories/smartbi-rmiservlet-unrestricted-file-upload-rce