CVE-2026-42785
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
OpenKM w wersji 6.3.12 zawiera podatność na zdalne wykonanie kodu, która umożliwia uwierzytelnionym administratorom wykonanie dowolnego kodu Java/BeanShell przez endpoint /admin/Scripting. Atakujący mogą przesłać złośliwy skrypt z parametrem action=Evaluate w celu wykonania poleceń systemu operacyjnego w kontekście serwera aplikacji OpenKM.
Ocena ryzyka
Uwierzytelniony administrator może uzyskać pełną kontrolę nad serwerem OpenKM, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenKM do najnowszej wersji oraz ograniczenie dostępu do endpointu /admin/Scripting tylko dla zaufanych administratorów.
Inne podatności w OpenKM
Zobacz wszystkie- CVE-2026-42425Wysokie
OpenKM 6.3.12 zawiera lukę nieograniczonego wykonywania zapytań SQL, która umożliwia uwierzytelnionym użytkownikom administracyjnym wykonanie dowolnych zapytań SQL w bazie danych aplikacji poprzez interfejs DatabaseQuery. Atakujący mogą wysyłać złośliwe zapytania SQL przez parametr qs do endpointu /admin/DatabaseQuery, aby wyodrębnić wrażliwe dane, w tym nazwy użytkowników i skróty haseł z tabeli OKM_USER, modyfikować uprawnienia lub usuwać rekordy.
- CVE-2026-41917Średnie
W OpenKM 6.3.12 w interfejsie skryptowym /admin/Scripting występuje podatność na lokalne dołączanie plików (LFI). Uwierzytelniony administrator może odczytać dowolne pliki, podając ścieżkę w parametrze fsPath z action=Load.
Oryginalny opis (angielski, źródło NVD)
OpenKM 6.3.12 contains a remote code execution vulnerability that allows authenticated administrators to execute arbitrary Java/BeanShell code through the /admin/Scripting endpoint. Attackers can submit malicious script content with an action=Evaluate parameter to execute operating system commands in the context of the OpenKM application server.