CVE-2026-19905
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie Jinher OA 1.0 wykryto słabość w nieznanej funkcji pliku /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. Manipulacja argumentem httpOID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do bazy danych, co może prowadzić do wycieku danych, modyfikacji lub usunięcia danych, a także do przejęcia systemu.
Rekomendacja
Zastosuj poprawki od producenta, jeśli są dostępne, lub ogranicz dostęp do systemu. Przeprowadź audyt bezpieczeństwa i monitoruj logi pod kątem podejrzanych działań.
Inne podatności w Jinher OA
Zobacz wszystkie- CVE-2026-15517Wysokie
W systemie Jinher OA 1.0 odkryto podatność SQL Injection w pliku PlanGiveOut.aspx. Atakujący może zdalnie manipulować argumentem httpOID, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-11435Wysokie
W systemie Jinher OA 1.0 stwierdzono podatność na iniekcję SQL w pliku nextselectplan.aspx poprzez manipulację argumentem httpOID. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
- CVE-2025-11035Średnie
W Jinher OA 2.0 wykryto podatność w nieznanej funkcji pliku /c6/Jhsoft.Web.module/ToolBar/ManageWord.aspx/?text=GetUrl&style=1. Manipulacja powoduje odniesienie do zewnętrznej encji XML (XXE). Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Jinher OA 1.0. Impacted is an unknown function of the file /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. This manipulation of the argument httpOID causes sql injection. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS