Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en ZKTeco ZKBio Media (CVE-2024-2318)

Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-23 Limitación incorrecta de nombre de ruta relativa a un directorio restringido (Relative Path Traversal)
Fecha de publicación:
08/03/2024
Última modificación:
10/06/2025

Descripción

Se encontró una vulnerabilidad en ZKTeco ZKBio Media 2.0.0_x64_2024-01-29-1028. Ha sido clasificado como problemático. Una función desconocida del archivo /pro/common/download del componente Service Port 9999 es afectada por esta vulnerabilidad. La manipulación del argumento fileName con la entrada ../../../../zkbio_media.sql provoca un path traversal: '../archivodir'. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-256272. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Impacto

Puntuación base 4.0
5.30
Gravedad 4.0
MEDIA
Puntuación base 3.x
4.30
Gravedad 3.x
MEDIA
Puntuación base 2.0
4.00
Gravedad 2.0
MEDIA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:zkteco:zkbio_media:2.0.0:*:*:*:*:*:*:*