CVE-2025-9736

W O2OA do wersji 9.5.3/10.0.2 wykryto lukę bezpieczeństwa w funkcji list pliku CipherConnectionAction.java komponentu Cipher Connection Handler. Manipulacja argumentem fileUrl prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został powiadomiony, ale nie odpowiedział.

O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.

O2OA do wersji 10.0.2-ce zawiera podatność typu obejście autoryzacji w x_processplatform_assemble_surface, która pozwala uwierzytelnionym użytkownikom na pobieranie załączników z innych prac. Akcje ActionDownloadWithWork i ActionDownloadWithWorkStream nigdy nie weryfikują, czy żądany identyfikator załącznika należy do wskazanej pracy lub szkicu, więc można podać dowolną odwiedzaną pracę lub posiadany szkic. Atakujący znający UUID załącznika może zażądać go przez jaxrs/attachment/download/{id}/work/{workId}, aby odczytać dokumenty dołączone do procesów innych użytkowników.

Znaleziono błąd w O2OA do wersji 10.0.1-ce. Dotyczy to funkcji ActionUploadExcelWithUrl w pliku /x_general_assemble_control/jaxrs/excel/upload/with/url komponentu General Module. Wykonanie manipulacji argumentem fileUrl może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być uruchomiony zdalnie. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale jeszcze nie odpowiedział.

Problem w O2OA w wersji 10.0.2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez mechanizm piaskownicy w wykonywaniu skryptów Invoke.

Podatność na odbity atak XSS w funkcji publikowania postów na forum w O2OA v10 umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez spreparowany URL.

W O2OA do wersji 10.0-410 wykryto podatność w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/importmodel w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit jest publiczny, a producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/table w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName powoduje cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca zapowiedział poprawkę w nowej wersji.

Odkryto lukę bezpieczeństwa typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Dotyczy ona nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/stat w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description/applicationName prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanym kodzie pliku /x_processplatform_assemble_designer/jaxrs/script w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description/applicationName może prowadzić do cross site scripting, a atak można wykonać zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.