Description

A vulnerability was found in ZKTeco ZKBio Media 2.0.0_x64_2024-01-29-1028. It has been classified as problematic. Affected is an unknown function of the file /pro/common/download of the component Service Port 9999. The manipulation of the argument fileName with the input ../../../../zkbio_media.sql leads to path traversal: '../filedir'. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 2.1.3 Build 2025-05-26-1605 is able to address this issue. It is recommended to upgrade the affected component. Es wurde eine problematische Schwachstelle in ZKTeco ZKBio Media 2.0.0_x64_2024-01-29-1028 ausgemacht. Es geht dabei um eine nicht klar definierte Funktion der Datei /pro/common/download der Komponente Service Port 9999. Mittels dem Manipulieren des Arguments fileName mit der Eingabe ../../../../zkbio_media.sql mit unbekannten Daten kann eine path traversal: '../filedir'-Schwachstelle ausgenutzt werden. Der Angriff kann über das Netzwerk passieren. Der Exploit steht zur öffentlichen Verfügung. Ein Aktualisieren auf die Version 2.1.3 Build 2025-05-26-1605 vermag dieses Problem zu lösen. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.

Classification

CVE ID: CVE-2024-2318

CVSS Base Severity: MEDIUM

CVSS Base Score: 5.3

CVSS Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P

Affected Products

Vendor: ZKTeco

Product: ZKBio Media

Exploit Prediction Scoring System (EPSS)

EPSS Score: 0.21% (probability of being exploited)

EPSS Percentile: 43.1% (scored less or equal to compared to others)

EPSS Date: 2025-06-21 (when was this score calculated)

Stakeholder-Specific Vulnerability Categorization (SSVC)

SSVC Exploitation: poc

SSVC Technical Impact: partial

SSVC Automatable: false

References

https://nvd.nist.gov/vuln/detail/CVE-2024-2318
https://vuldb.com/?id.256272
https://vuldb.com/?ctiid.256272
https://vuldb.com/?submit.288530
https://gist.github.com/whiteman007/a3b25a7ddf38774329d72930e0cd841a
https://www.zkteco.com/en/Security_Bulletinsibs/11

Timeline