CVE-2026-11412
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Jinher OA C6 znaleziono podatność na iniekcję SQL w pliku /C6/JHSoft.Web.ModuleCount/GetFormSn.aspx. Manipulacja argumentem queryID umożliwia zdalny atak. Exploit jest publicznie dostępny, a producent nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie manipulować bazą danych, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastowe odizolowanie systemu od sieci zewnętrznej i wdrożenie zapory aplikacyjnej do czasu wydania łatki.
Inne podatności w Jinher OA C6
Zobacz wszystkie- CVE-2026-124331Wysokie
Zidentyfikowano podatność w Jinher OA C6. Wpływa ona na nieznaną funkcję pliku /C6/JHSoft.Web.Project/OfficeReadOnly/ProjectAfficheManage.aspx. Manipulacja argumentem ProjID prowadzi do wstrzyknięcia SQL. Możliwe jest zdalne przeprowadzenie ataku. Exploit jest publicznie dostępny i może być wykorzystany. Dostawca został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-50782Wysokie
Podatność XML External Entity (XXE) w Jinher OA C6. Nieuwierzytelniony zdalny atakujący może wysłać spreparowany ładunek XML do endpointu GetXmlHttp, aby odczytać dowolne pliki z serwera poprzez atak out-of-band.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Jinher OA C6. The affected element is an unknown function of the file /C6/JHSoft.Web.ModuleCount/GetFormSn.aspx. Executing a manipulation of the argument queryID can lead to sql injection. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS