CVE-2025-9646
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W O2OA do wersji 10.0-410 odkryto podatność w pliku /x_organization_assemble_personal/jaxrs/definition/calendarConfig. Manipulacja argumentem toMonthViewName prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony; producent zapowiedział poprawkę w nowej wersji.
Ocena ryzyka
Możliwe wykonanie złośliwego skryptu w przeglądarce użytkownika O2OA, co może skutkować kradzieżą sesji lub danych. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizować O2OA do nowej wersji z poprawką oraz wdrożyć walidację i sanityzację argumentu toMonthViewName. Do czasu aktualizacji ograniczyć dostęp do podatnego endpointu.
Inne podatności w O2OA
Zobacz wszystkie- CVE-2026-97179Średnie
W O2OA do wersji 9.5.3/10.0.2 wykryto lukę bezpieczeństwa w funkcji list pliku CipherConnectionAction.java komponentu Cipher Connection Handler. Manipulacja argumentem fileUrl prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2022-22916Krytyczne
O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.
- CVE-2026-111620Średnie
O2OA do wersji 10.0.2-ce zawiera podatność typu obejście autoryzacji w x_processplatform_assemble_surface, która pozwala uwierzytelnionym użytkownikom na pobieranie załączników z innych prac. Akcje ActionDownloadWithWork i ActionDownloadWithWorkStream nigdy nie weryfikują, czy żądany identyfikator załącznika należy do wskazanej pracy lub szkicu, więc można podać dowolną odwiedzaną pracę lub posiadany szkic. Atakujący znający UUID załącznika może zażądać go przez jaxrs/attachment/download/{id}/work/{workId}, aby odczytać dokumenty dołączone do procesów innych użytkowników.
- CVE-2026-105438Średnie
Znaleziono błąd w O2OA do wersji 10.0.1-ce. Dotyczy to funkcji ActionUploadExcelWithUrl w pliku /x_general_assemble_control/jaxrs/excel/upload/with/url komponentu General Module. Wykonanie manipulacji argumentem fileUrl może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być uruchomiony zdalnie. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale jeszcze nie odpowiedział.
- CVE-2026-67961Wysokie
Problem w O2OA w wersji 10.0.2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez mechanizm piaskownicy w wykonywaniu skryptów Invoke.
- CVE-2026-52370Średnie
Podatność na odbity atak XSS w funkcji publikowania postów na forum w O2OA v10 umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez spreparowany URL.
- CVE-2025-9737Niskie
W O2OA do wersji 10.0-410 wykryto podatność w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/importmodel w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit jest publiczny, a producent zapowiedział poprawkę w nowej wersji.
- CVE-2025-9736Niskie
Wykryto podatność typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Podatność dotyczy nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/statement w komponencie Personal Profile Page i jest wywoływana przez manipulację argumentem description/queryName. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-9735Niskie
W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/table w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName powoduje cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca zapowiedział poprawkę w nowej wersji.
- CVE-2025-9734Niskie
Odkryto lukę bezpieczeństwa typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Dotyczy ona nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/stat w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description/applicationName prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in O2OA up to 10.0-410. This vulnerability affects unknown code of the file /x_organization_assemble_personal/jaxrs/definition/calendarConfig. The manipulation of the argument toMonthViewName results in cross site scripting. The attack can be launched remotely. The exploit has been released to the public and may be exploited. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS