CVE-2022-22916

KrytyczneCVSS 9.8

Opublikowano: 17/02/2022(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

38.39%

Percentyl 98 - wyżej niż 98% wszystkich znanych CVE

Streszczenie

O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.

Ocena ryzyka

Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem, kradzież danych lub zakłócenie działania systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację O2OA do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie dostępu do endpointu /x_program_center/jaxrs/invoke tylko dla zaufanych sieci.

Oryginalny opis (angielski, źródło NVD)

O2OA v6.4.7 was discovered to contain a remote code execution (RCE) vulnerability via /x_program_center/jaxrs/invoke.