CVE-2025-11035
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Jinher OA 2.0 wykryto podatność w nieznanej funkcji pliku /c6/Jhsoft.Web.module/ToolBar/ManageWord.aspx/?text=GetUrl&style=1. Manipulacja powoduje odniesienie do zewnętrznej encji XML (XXE). Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie wykorzystać podatność do odczytu plików lub wykonania ataków SSRF, co może prowadzić do ujawnienia wrażliwych danych.
Rekomendacja
Zastosuj dostępne poprawki lub środki zaradcze, ponieważ exploit jest publicznie znany. Rozważ ograniczenie dostępu do podatnego pliku.
Inne podatności w Jinher OA
Zobacz wszystkie- CVE-2026-19905Wysokie
W systemie Jinher OA 1.0 wykryto słabość w nieznanej funkcji pliku /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. Manipulacja argumentem httpOID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-15517Wysokie
W systemie Jinher OA 1.0 odkryto podatność SQL Injection w pliku PlanGiveOut.aspx. Atakujący może zdalnie manipulować argumentem httpOID, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-11435Wysokie
W systemie Jinher OA 1.0 stwierdzono podatność na iniekcję SQL w pliku nextselectplan.aspx poprzez manipulację argumentem httpOID. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Jinher OA 2.0. The impacted element is an unknown function of the file /c6/Jhsoft.Web.module/ToolBar/ManageWord.aspx/?text=GetUrl&style=1. This manipulation causes xml external entity reference. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS