CVE-2026-97179
ŚrednieCVSS 4.3Streszczenie
W O2OA do wersji 9.5.3/10.0.2 wykryto lukę bezpieczeństwa w funkcji list pliku CipherConnectionAction.java komponentu Cipher Connection Handler. Manipulacja argumentem fileUrl prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może uzyskać dostęp do poufnych informacji bez uwierzytelnienia. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania luki.
Rekomendacja
Zaktualizuj O2OA do wersji nowszej niż 10.0.2, jeśli dostępna jest poprawka. Do czasu aktualizacji ogranicz dostęp sieciowy do komponentu Cipher Connection Handler i monitoruj podejrzane żądania.
Inne podatności w O2OA
Zobacz wszystkie- CVE-2022-22916Krytyczne
O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.
- CVE-2026-111620Średnie
O2OA do wersji 10.0.2-ce zawiera podatność typu obejście autoryzacji w x_processplatform_assemble_surface, która pozwala uwierzytelnionym użytkownikom na pobieranie załączników z innych prac. Akcje ActionDownloadWithWork i ActionDownloadWithWorkStream nigdy nie weryfikują, czy żądany identyfikator załącznika należy do wskazanej pracy lub szkicu, więc można podać dowolną odwiedzaną pracę lub posiadany szkic. Atakujący znający UUID załącznika może zażądać go przez jaxrs/attachment/download/{id}/work/{workId}, aby odczytać dokumenty dołączone do procesów innych użytkowników.
- CVE-2026-105438Średnie
Znaleziono błąd w O2OA do wersji 10.0.1-ce. Dotyczy to funkcji ActionUploadExcelWithUrl w pliku /x_general_assemble_control/jaxrs/excel/upload/with/url komponentu General Module. Wykonanie manipulacji argumentem fileUrl może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być uruchomiony zdalnie. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale jeszcze nie odpowiedział.
- CVE-2026-67961Wysokie
Problem w O2OA w wersji 10.0.2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez mechanizm piaskownicy w wykonywaniu skryptów Invoke.
- CVE-2026-52370Średnie
Podatność na odbity atak XSS w funkcji publikowania postów na forum w O2OA v10 umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez spreparowany URL.
- CVE-2025-9737Niskie
W O2OA do wersji 10.0-410 wykryto podatność w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/importmodel w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit jest publiczny, a producent zapowiedział poprawkę w nowej wersji.
- CVE-2025-9736Niskie
Wykryto podatność typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Podatność dotyczy nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/statement w komponencie Personal Profile Page i jest wywoływana przez manipulację argumentem description/queryName. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-9735Niskie
W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/table w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName powoduje cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca zapowiedział poprawkę w nowej wersji.
- CVE-2025-9734Niskie
Odkryto lukę bezpieczeństwa typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Dotyczy ona nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/stat w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description/applicationName prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-9719Niskie
W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanym kodzie pliku /x_processplatform_assemble_designer/jaxrs/script w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description/applicationName może prowadzić do cross site scripting, a atak można wykonać zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in O2OA up to 9.5.3/10.0.2. This vulnerability affects the function list of the file o2server/x_base_core_project/src/main/java/com/x/base/core/project/connection/CipherConnectionAction.java of the component Cipher Connection Handler. Such manipulation of the argument fileUrl leads to information disclosure. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS