CVE-2024-7327

Xinhu RockOA versão 2.6.2

Foi encontrada uma vulnerabilidade crítica na função dataAction do arquivo /webmain/task/openapi/openmodhetongAction.php. A manipulação do argumento nickName leva a uma injeção de SQL. O ataque pode ser iniciado remotamente. A vulnerabilidade foi divulgada publicamente e pode ser explorada. O fornecedor foi contatado sobre essa divulgação, mas não respondeu.

Para o Xinhu RockOA versão 2.6.2, como solução temporária, considere restringir o acesso à função dataAction no arquivo /webmain/task/openapi/openmodhetongAction.php até que um patch esteja disponível. Evite usar o argumento nickName na função afetada para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.