Podatności OpenKM
3 znanych podatności CVE w OpenKM, przetłumaczonych i ocenionych.
- CVE-2026-42785Wysokie
OpenKM w wersji 6.3.12 zawiera podatność na zdalne wykonanie kodu, która umożliwia uwierzytelnionym administratorom wykonanie dowolnego kodu Java/BeanShell przez endpoint /admin/Scripting. Atakujący mogą przesłać złośliwy skrypt z parametrem action=Evaluate w celu wykonania poleceń systemu operacyjnego w kontekście serwera aplikacji OpenKM.
- CVE-2026-42425Wysokie
OpenKM 6.3.12 zawiera lukę nieograniczonego wykonywania zapytań SQL, która umożliwia uwierzytelnionym użytkownikom administracyjnym wykonanie dowolnych zapytań SQL w bazie danych aplikacji poprzez interfejs DatabaseQuery. Atakujący mogą wysyłać złośliwe zapytania SQL przez parametr qs do endpointu /admin/DatabaseQuery, aby wyodrębnić wrażliwe dane, w tym nazwy użytkowników i skróty haseł z tabeli OKM_USER, modyfikować uprawnienia lub usuwać rekordy.
- CVE-2026-41917Średnie
W OpenKM 6.3.12 w interfejsie skryptowym /admin/Scripting występuje podatność na lokalne dołączanie plików (LFI). Uwierzytelniony administrator może odczytać dowolne pliki, podając ścieżkę w parametrze fsPath z action=Load.