Podatności Jinher OA

W systemie Jinher OA 1.0 wykryto słabość w nieznanej funkcji pliku /C6/JHSoft.Web.HrmAttendance/attendance_out_approve.aspx. Manipulacja argumentem httpOID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany, ale nie odpowiedział.

W systemie Jinher OA 1.0 odkryto podatność SQL Injection w pliku PlanGiveOut.aspx. Atakujący może zdalnie manipulować argumentem httpOID, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany i może być wykorzystany.

W systemie Jinher OA 1.0 stwierdzono podatność na iniekcję SQL w pliku nextselectplan.aspx poprzez manipulację argumentem httpOID. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.

W Jinher OA 2.0 wykryto podatność w nieznanej funkcji pliku /c6/Jhsoft.Web.module/ToolBar/ManageWord.aspx/?text=GetUrl&style=1. Manipulacja powoduje odniesienie do zewnętrznej encji XML (XXE). Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.