Podatności O2OA

W O2OA do wersji 9.5.3/10.0.2 wykryto lukę bezpieczeństwa w funkcji list pliku CipherConnectionAction.java komponentu Cipher Connection Handler. Manipulacja argumentem fileUrl prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został powiadomiony, ale nie odpowiedział.

O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.

O2OA do wersji 10.0.2-ce zawiera podatność typu obejście autoryzacji w x_processplatform_assemble_surface, która pozwala uwierzytelnionym użytkownikom na pobieranie załączników z innych prac. Akcje ActionDownloadWithWork i ActionDownloadWithWorkStream nigdy nie weryfikują, czy żądany identyfikator załącznika należy do wskazanej pracy lub szkicu, więc można podać dowolną odwiedzaną pracę lub posiadany szkic. Atakujący znający UUID załącznika może zażądać go przez jaxrs/attachment/download/{id}/work/{workId}, aby odczytać dokumenty dołączone do procesów innych użytkowników.

Znaleziono błąd w O2OA do wersji 10.0.1-ce. Dotyczy to funkcji ActionUploadExcelWithUrl w pliku /x_general_assemble_control/jaxrs/excel/upload/with/url komponentu General Module. Wykonanie manipulacji argumentem fileUrl może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być uruchomiony zdalnie. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale jeszcze nie odpowiedział.

Problem w O2OA w wersji 10.0.2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez mechanizm piaskownicy w wykonywaniu skryptów Invoke.

Podatność na odbity atak XSS w funkcji publikowania postów na forum w O2OA v10 umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez spreparowany URL.

W O2OA do wersji 10.0-410 wykryto podatność w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/importmodel w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit jest publiczny, a producent zapowiedział poprawkę w nowej wersji.

Wykryto podatność typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Podatność dotyczy nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/statement w komponencie Personal Profile Page i jest wywoływana przez manipulację argumentem description/queryName. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/table w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName powoduje cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca zapowiedział poprawkę w nowej wersji.

Odkryto lukę bezpieczeństwa typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Dotyczy ona nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/stat w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description/applicationName prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanym kodzie pliku /x_processplatform_assemble_designer/jaxrs/script w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description/applicationName może prowadzić do cross site scripting, a atak można wykonać zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W O2OA w wersjach do 10.0-410 odkryto lukę typu cross-site scripting (XSS). Dotyczy ona nieznanej części pliku /x_processplatform_assemble_designer/jaxrs/process w komponencie Personal Profile Page, a manipulacja argumentami name/alias prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_organization_assemble_control/jaxrs/unit/ w komponencie Personal Profile Page. Manipulacja argumentami name/shortName/distinguishedName/pinyin/pinyinInitial/levelName prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W O2OA do wersji 10.0-410 wykryto podatność cross-site scripting (XSS) w pliku /x_processplatform_assemble_designer/jaxrs/form, w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent zapowiedział poprawkę w nowej wersji.

W O2OA w wersjach do 10.0-410 wykryto podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcji w pliku /x_cms_assemble_control/jaxrs/script w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 wykryto podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcjonalności w pliku /x_cms_assemble_control/jaxrs/form w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 znaleziono podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcjonalności w pliku /x_cms_assemble_control/jaxrs/design/appdict w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 wykryto lukę typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcji w pliku /x_program_center/jaxrs/agent w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie opublikowany.

W O2OA (do wersji 10.0-410) strona profilu osobistego w pliku /x_portal_assemble_designer/jaxrs/page jest podatna na cross-site scripting. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny; dostawca zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_portal_assemble_designer/jaxrs/widget w komponencie Personal Profile Page. Manipulacja danymi prowadzi do cross site scripting. Atak można wykonać zdalnie, a exploit został ujawniony publicznie; producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_portal_assemble_designer/jaxrs/dict/ w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description powoduje cross site scripting. Możliwe jest zdalne wykorzystanie, a exploit został opublikowany; producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_program_center/jaxrs/script w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit jest publiczny; producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w pliku /x_organization_assemble_control/jaxrs/person/ w komponencie Personal Profile Page. Manipulacja argumentem Description może prowadzić do cross site scripting. Atak można przeprowadzić zdalnie; producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 odkryto podatność w pliku /x_organization_assemble_personal/jaxrs/definition/calendarConfig. Manipulacja argumentem toMonthViewName prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony; producent zapowiedział poprawkę w nowej wersji.