CVE-2025-63742

Krytyczne

Opublikowano: 09/12/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Podatność na wstrzyknięcie SQL w funkcji setwxqyAction w pliku webmain/task/api/loginAction.php w Xinhu Rainrock RockOA 2.7.0, umożliwiająca atakującym uzyskanie wrażliwych informacji, w tym kont administratorów, hashy haseł, struktury bazy danych i innych krytycznych danych, poprzez parametry shouji i userid.

Ocena ryzyka

Atakujący może uzyskać dostęp do kont administratorów i danych wrażliwych, co prowadzi do naruszenia poufności i integralności systemu.

Rekomendacja

Zastosuj poprawki od producenta lub ogranicz dostęp do pliku loginAction.php, a także używaj parametryzowanych zapytań.

Oryginalny opis (angielski, źródło NVD)

SQL Injection vulnerability in function setwxqyAction in file webmain/task/api/loginAction.php in Xinhu Rainrock RockOA 2.7.0 allowing attackers gain sensitive information, including administrator accounts, password hashes, database structure, and other critical data via the shouji and userid parameters.