CVE-2026-0588
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W Xinhu Rainrock RockOA do wersji 2.7.1 zidentyfikowano słabość w nieznanej funkcjonalności pliku rockfun.php komponentu API. Manipulacja argumentem callback powoduje cross site scripting. Atak może być zainicjowany zdalnie. Exploit został udostępniony publicznie i może być wykorzystany w atakach. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
Ocena ryzyka
Atakujący może wykonać skrypt w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub innych działań w kontekście użytkownika.
Rekomendacja
Zaktualizuj Xinhu Rainrock RockOA do wersji nowszej niż 2.7.1, jeśli jest dostępna, lub zastosuj środki zaradcze (np. walidację danych wejściowych).
Inne podatności w Xinhu Rainrock RockOA
Zobacz wszystkie- CVE-2025-63742Krytyczne
Podatność na wstrzyknięcie SQL w funkcji setwxqyAction w pliku webmain/task/api/loginAction.php w Xinhu Rainrock RockOA 2.7.0, umożliwiająca atakującym uzyskanie wrażliwych informacji, w tym kont administratorów, hashy haseł, struktury bazy danych i innych krytycznych danych, poprzez parametry shouji i userid.
- CVE-2026-108571Wysokie
W Xinhu Rainrock RockOA do wersji 2.7.6 wykryto lukę w funkcji kqjcmdModel::returnchuli w pliku webmain/task/openapi/openkqjAction.php komponentu Openkqj Action. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-84153Średnie
W Xinhu Rainrock RockOA do wersji 2.3.2 wykryto podatność SQL injection w funkcji toaddval pliku /index.php?m=index&a=publicsavevalue&ajaxbool=true. Manipulacja argumentem Value może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-84109Średnie
W Xinhu Rainrock RockOA do wersji 2.7.6 występuje podatność SQL injection w funkcji getOrder pliku webmain/webmainAction.php. Manipulacja argumentem highorder może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-63740Średnie
W Xinhu Rainrock RockOA 2.7.0 występuje podatność SQL Injection w funkcji getselectdataAjax w pliku inputAction.php, umożliwiająca atakującym uzyskanie poufnych informacji, w tym kont administratorów, hashy haseł, struktury bazy danych i innych krytycznych danych, poprzez parametr actstr.
- CVE-2025-63739Średnie
W funkcji phpinisaveAction w pliku webmain/system/cogini/coginiAction.php w Xinhu Rainrock RockOA 2.7.0 uwierzytelnieni użytkownicy mogą modyfikować pliki konfiguracyjne PHP poprzez parametr a w punkcie końcowym index.php.
- CVE-2025-63738Średnie
W Xinhu Rainrock RockOA 2.7.0 wykryto problem w pliku index.php, który pozwala atakującym uzyskać poufne informacje poprzez phpinfo za pomocą parametru a w index.php.
- CVE-2025-63737Średnie
W Xinhu Rainrock RockOA 2.7.0 występuje podatność cross-site scripting (XSS) w funkcji urltestAction w pliku cliAction.php. Zdalni atakujący mogą wstrzyknąć dowolny skrypt lub HTML poprzez parametr m do endpointu task.php.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Xinhu Rainrock RockOA up to 2.7.1. Affected by this vulnerability is an unknown functionality of the file rockfun.php of the component API. This manipulation of the argument callback causes cross site scripting. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS