CVE-2026-97179
ŚrednieCVSS 4.3Streszczenie
W O2OA do wersji 9.5.3/10.0.2 wykryto lukę bezpieczeństwa w funkcji list pliku CipherConnectionAction.java komponentu Cipher Connection Handler. Manipulacja argumentem fileUrl prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może uzyskać dostęp do poufnych informacji bez uwierzytelnienia. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania luki.
Rekomendacja
Zaktualizuj O2OA do wersji nowszej niż 10.0.2, jeśli dostępna jest poprawka. Do czasu aktualizacji ogranicz dostęp sieciowy do komponentu Cipher Connection Handler i monitoruj podejrzane żądania.
Inne podatności w O2OA
Zobacz wszystkie- CVE-2022-22916Krytyczne
O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.
- CVE-2026-67961Wysokie
Problem w O2OA w wersji 10.0.2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez mechanizm piaskownicy w wykonywaniu skryptów Invoke.
- CVE-2026-52370Średnie
Podatność na odbity atak XSS w funkcji publikowania postów na forum w O2OA v10 umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez spreparowany URL.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in O2OA up to 9.5.3/10.0.2. This vulnerability affects the function list of the file o2server/x_base_core_project/src/main/java/com/x/base/core/project/connection/CipherConnectionAction.java of the component Cipher Connection Handler. Such manipulation of the argument fileUrl leads to information disclosure. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS