CVE-2026-84153
ŚrednieCVSS 6.3Streszczenie
W Xinhu Rainrock RockOA do wersji 2.3.2 wykryto podatność SQL injection w funkcji toaddval pliku /index.php?m=index&a=publicsavevalue&ajaxbool=true. Manipulacja argumentem Value może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do bazy danych, co może prowadzić do wycieku danych, ich modyfikacji lub usunięcia, a także do przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj RockOA do najnowszej wersji, jeśli dostępna. Jeśli nie, ogranicz dostęp do aplikacji i monitoruj logi pod kątem podejrzanych zapytań.
Inne podatności w Xinhu Rainrock RockOA
Zobacz wszystkie- CVE-2026-84109Średnie
W Xinhu Rainrock RockOA do wersji 2.7.6 występuje podatność SQL injection w funkcji getOrder pliku webmain/webmainAction.php. Manipulacja argumentem highorder może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-63742Krytyczne
Podatność na wstrzyknięcie SQL w funkcji setwxqyAction w pliku webmain/task/api/loginAction.php w Xinhu Rainrock RockOA 2.7.0, umożliwiająca atakującym uzyskanie wrażliwych informacji, w tym kont administratorów, hashy haseł, struktury bazy danych i innych krytycznych danych, poprzez parametry shouji i userid.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Xinhu Rainrock RockOA up to 2.3.2. The impacted element is the function toaddval of the file /index.php?m=index&a=publicsavevalue&ajaxbool=true. Executing a manipulation of the argument Value can lead to sql injection. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.