CVE-2025-11630
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Podatność path traversal w RainyGao DocSys do wersji 2.02.36 w funkcji updateRealDoc pliku /Doc/uploadDoc.do pozwala na manipulację argumentem path. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykorzystać podatność do nieautoryzowanego dostępu do plików lub ich modyfikacji, co może prowadzić do naruszenia poufności lub integralności danych.
Rekomendacja
Zaktualizuj DocSys do najnowszej wersji, jeśli dostępna, lub ogranicz dostęp do aplikacji. Producent nie odpowiedział na zgłoszenie.
Inne podatności w RainyGao DocSys
Zobacz wszystkie- CVE-2026-105158Wysokie
W aplikacji RainyGao DocSys do wersji 2.02.85 wykryto podatność SQL injection w funkcji BaseController.createDBForMysql w pliku BaseController.java (komponent Database Management). Manipulacja argumentem url pozwala na wstrzyknięcie kodu SQL. Exploit jest publicznie dostępny, a atak można przeprowadzić zdalnie.
- CVE-2026-105157Średnie
W RainyGao DocSys do wersji 2.02.85 wykryto podatność path traversal w funkcji DocController.doGetTmp w pliku /Doc/doGetTmpFile.do (komponent Document Controller). Manipulacja argumentami path/fileName pozwala na nieautoryzowany dostęp do plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-11631Średnie
Podatność path traversal w RainyGao DocSys do wersji 2.02.36 w pliku /Doc/deleteDoc.do pozwala na manipulację argumentem path. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in RainyGao DocSys up to 2.02.36. Affected is the function updateRealDoc of the file /Doc/uploadDoc.do of the component File Upload. Performing manipulation of the argument path results in path traversal. The attack can be initiated remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS