CVE-2026-50782

WysokieCVSS 7.5

Opublikowano: 29/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Podatność XML External Entity (XXE) w Jinher OA C6. Nieuwierzytelniony zdalny atakujący może wysłać spreparowany ładunek XML do endpointu GetXmlHttp, aby odczytać dowolne pliki z serwera poprzez atak out-of-band.

Ocena ryzyka

Wyciek poufnych plików systemowych, takich jak konfiguracje czy dane uwierzytelniające.

Rekomendacja

Wyłącz przetwarzanie zewnętrznych encji XML w parserze XML lub zaktualizuj system do wersji z poprawką.

Inne podatności w Jinher OA C6

CVE-2026-11412Średnie
W Jinher OA C6 znaleziono podatność na iniekcję SQL w pliku /C6/JHSoft.Web.ModuleCount/GetFormSn.aspx. Manipulacja argumentem queryID umożliwia zdalny atak. Exploit jest publicznie dostępny, a producent nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

Jinher OA C6 contains an XML External Entity (XXE) injection vulnerability in the /c6/JHSoft.Web.HrmAttendance/sp_manager_getUserlist.aspx/GetXmlHttp endpoint. An unauthenticated remote attacker can send a crafted XML payload to read arbitrary files from the server via an out-of-band attack.