CVE-2024-40324

描述

E-Staff v5.1 中存在一个 CRLF 注入漏洞，攻击者可以在输入字段中插入回车(CR)和换行(LF)字符，导致 HTTP 响应拆分和头部操纵。

漏洞类型

CRLF

产品供应商

E-Staff

受影响产品代码库

E-Staff 5.1

受影响组件

HTTP 头部

攻击类型

远程

影响：代码执行

可能导致任意头部注入、缓存中毒、会话劫持、跨站脚本(XSS)及其他利用。

发现者

• Aleksey Vistorobskiy

攻击向量

攻击者可以在输入字段中插入 CRLF 字符，操纵 HTTP 头部。例如，向 HTTP 头部注入 CRLF 可能导致 HTTP 响应拆分。

截图：

参考

• https://e-staff.ru/estaff_home
• https://github.com/aleksey-vi/CVE-2024-40324