CVE-2025-63737
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Xinhu Rainrock RockOA 2.7.0 występuje podatność cross-site scripting (XSS) w funkcji urltestAction w pliku cliAction.php. Zdalni atakujący mogą wstrzyknąć dowolny skrypt lub HTML poprzez parametr m do endpointu task.php.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub innych nieautoryzowanych działań. Może to naruszyć bezpieczeństwo danych i systemu.
Rekomendacja
Zaktualizuj RockOA do najnowszej wersji, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, należy wdrożyć filtrowanie danych wejściowych i escapowanie danych wyjściowych.
Inne podatności w Xinhu Rainrock RockOA
Zobacz wszystkie- CVE-2025-63742Krytyczne
Podatność na wstrzyknięcie SQL w funkcji setwxqyAction w pliku webmain/task/api/loginAction.php w Xinhu Rainrock RockOA 2.7.0, umożliwiająca atakującym uzyskanie wrażliwych informacji, w tym kont administratorów, hashy haseł, struktury bazy danych i innych krytycznych danych, poprzez parametry shouji i userid.
- CVE-2026-108571Wysokie
W Xinhu Rainrock RockOA do wersji 2.7.6 wykryto lukę w funkcji kqjcmdModel::returnchuli w pliku webmain/task/openapi/openkqjAction.php komponentu Openkqj Action. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-84153Średnie
W Xinhu Rainrock RockOA do wersji 2.3.2 wykryto podatność SQL injection w funkcji toaddval pliku /index.php?m=index&a=publicsavevalue&ajaxbool=true. Manipulacja argumentem Value może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-84109Średnie
W Xinhu Rainrock RockOA do wersji 2.7.6 występuje podatność SQL injection w funkcji getOrder pliku webmain/webmainAction.php. Manipulacja argumentem highorder może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-0588Niskie
W Xinhu Rainrock RockOA do wersji 2.7.1 zidentyfikowano słabość w nieznanej funkcjonalności pliku rockfun.php komponentu API. Manipulacja argumentem callback powoduje cross site scripting. Atak może być zainicjowany zdalnie. Exploit został udostępniony publicznie i może być wykorzystany w atakach. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2025-63740Średnie
W Xinhu Rainrock RockOA 2.7.0 występuje podatność SQL Injection w funkcji getselectdataAjax w pliku inputAction.php, umożliwiająca atakującym uzyskanie poufnych informacji, w tym kont administratorów, hashy haseł, struktury bazy danych i innych krytycznych danych, poprzez parametr actstr.
- CVE-2025-63739Średnie
W funkcji phpinisaveAction w pliku webmain/system/cogini/coginiAction.php w Xinhu Rainrock RockOA 2.7.0 uwierzytelnieni użytkownicy mogą modyfikować pliki konfiguracyjne PHP poprzez parametr a w punkcie końcowym index.php.
- CVE-2025-63738Średnie
W Xinhu Rainrock RockOA 2.7.0 wykryto problem w pliku index.php, który pozwala atakującym uzyskać poufne informacje poprzez phpinfo za pomocą parametru a w index.php.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in function urltestAction in file cliAction.php in Xinhu Rainrock RockOA 2.7.0 allows remote attackers to inject arbitrary web script or HTML via the m parameter to the task.php endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS