PT-2025-31821
CVE-2025-8516
·
تاريخ النشر
2025-08-04
·
تاريخ التحديث
2025-11-03
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Kingdee Cloud-Starry-Sky Enterprise Edition، الإصدارات الأقدم من 8.3
الوصف
توجد ثغرة أمنية في Kingdee Cloud-Starry-Sky Enterprise Edition. الوظيفة
BaseServiceFactory.getFileUploadService.deleteFileAction الموجودة داخل الملف K3CloudBBCMallSiteWEB-INFlibKingdee.K3.O2O. Base.WebApp.jar!kingdeek3o2obasewebappactionFileUploadAction.class التابعة للمكون IIS-K3CloudMiniApp متأثرة. قد يؤدي التلاعب بالمعلمة filePath إلى حدوث حالة «عبور المسار» (path traversal). يمكن استغلال هذه المشكلة عن بُعد. وقد تم الكشف عن طريقة الاستغلال علنًا ويمكن استخدامها.التوصيات
قم بتثبيت تصحيح الأمان المقدم من نظام Starry Sky، وتتمثل الحلول المحددة في: i) إضافة المصادقة إلى الواجهة المعرضة للخطر
CMKAppWebHandler.ashx؛ ii) إزالة وظيفة قراءة الملفات.كإجراء قصير الأجل، قم بتعطيل الوصول إلى الشبكة الخارجية لنظام Kingdee Cloud Galaxy Retail System مؤقتًا أو قم بتكوين قائمة بيضاء لعناوين IP للتحكم في الوصول.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾