CVE-2026-94491

WysokieCVSS 7.3

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W Yonyou KSOA 9.0 wykryto słabość w nieznanej części pliku /cardcase/search_list.jsp. Manipulacja argumentem address prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Wstrzyknięcie SQL może pozwolić atakującemu na odczyt, modyfikację lub usunięcie danych z bazy oraz potencjalnie na dalsze działania w systemie. Publiczna dostępność exploitu zwiększa ryzyko.

Rekomendacja

Ogranicz dostęp sieciowy do aplikacji Yonyou KSOA i skontaktuj się z producentem w celu uzyskania poprawki. Do czasu jej wydania rozważ wdrożenie reguł WAF filtrujących ruch do podatnego punktu końcowego.

Inne podatności w Yonyou KSOA

CVE-2022-50973Krytyczne
Podatność w Yonyou KSOA 9.0 umożliwia nieuwierzytelnionym atakującym zdalne wykonanie kodu poprzez przesłanie dowolnego pliku, w tym webshella JSP, bez żadnej walidacji. Atak wykorzystuje serwlet ImageUpload, który nie sprawdza typu, rozszerzenia ani zawartości przesyłanego pliku.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in Yonyou KSOA 9.0. This affects an unknown part of the file /cardcase/search_list.jsp. Executing a manipulation of the argument address can lead to sql injection. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS