Cleo 远程代码执行漏洞复现（CVE-2024-50623）（附脚本）

0x01 产品描述：

        ‌Cleo‌是一款专为Z世代设计的AI理财小助手，自2016年成立以来，已经实现了1.5亿美元的年经常性收入。它不仅帮助用户追踪开销和存款目标，还通过数据分析提供深入的理财建议和个性化的财务指导。Cleo的AI驱动界面可以根据用户的行为进行调整，帮助用户培养良好的理财习惯。截至2023年，Cleo在美国拥有约60万付费客户，免费和付费用户总数超过600万‌
0x02 漏洞描述：

        Cleo LexiCom、VLTransfer 和 Harmony 软件中存在不受限制的文件上传和下载漏洞，由于缺乏对上传文件和下载功能的适当验证和限制，攻击者可能利用该漏洞上传恶意文件并可能利用系统的访问/下载功能或其他机制触发恶意文件执行，成功利用该漏洞可能导致远程代码执行，从而造成数据泄露、篡改，甚至进一步的网络攻击。

0x03 影响版本：

Cleo Harmony < 5.8.0.24

Cleo VLTrader < 5.8.0.24

Cleo LexiCom < 5.8.0.24
0x04 搜索语句：

Fofa:server="Cleo"