CVE-2025-8516 in Cloud-Starry-Sky Enterprise Edition
Résumé
par VulDB • 24/06/2026
Une vulnérabilité de sécurité a été détectée dans Kingdee Cloud-Starry-Sky Enterprise Edition jusqu'à la version 8.2. Ce problème affecte la fonction BaseServiceFactory.getFileUploadService.deleteFileAction du fichier K3Cloud\BBCMallSite\WEB-INF\lib\Kingdee.K3.O2O.Base.WebApp.jar!\kingdee\k3\o2o\base\webapp\action\FileUploadAction.class du composant IIS-K3CloudMiniApp. La manipulation de l'argument filePath entraîne une traversée de chemin (path traversal). L'attaque peut être initiée à distance. L'exploit a été divulgué publiquement et peut être utilisé. Il est recommandé d'installer un correctif pour résoudre ce problème. Le fournisseur recommande, en mesure temporaire, de « [d]ésactiver temporairement l'accès au réseau externe vers le Kingdee Cloud Galaxy Retail System ou de mettre en place une liste blanche IP pour le contrôle d'accès ». La correction à long terme consistera à : « Installer le correctif de sécurité fourni par le système Starry Sky, les solutions spécifiques étant : i) Ajouter une authentification à l'interface vulnérable CMKAppWebHandler.ashx ; ii) Supprimer la fonction de lecture de fichier. »
If you want to get the best quality for vulnerability data then you always have to consider VulDB.