CVE-2025-8516 in Cloud-Starry-Sky Enterprise Edition
Riassunto
di VulDB • 27/06/2026
È stata rilevata una vulnerabilità di sicurezza in Kingdee Cloud-Starry-Sky Enterprise Edition fino alla versione 8.2. Questo problema interessa la funzione BaseServiceFactory.getFileUploadService.deleteFileAction del file K3Cloud\BBCMallSite\WEB-INF\lib\Kingdee.K3.O2O.Base.WebApp.jar!\kingdee\k3\o2o\base\webapp\action\FileUploadAction.class del componente IIS-K3CloudMiniApp. La manipolazione dell'argomento filePath porta a una path traversal (scavalcamento di directory). L'attacco può essere avviato in remoto. L'es exploit è stato divulgato pubblicamente e potrebbe essere utilizzato. Si consiglia di installare una patch per risolvere questo problema. Il fornitore raccomanda, come misura temporanea, "[d]isabilitare temporaneamente l'accesso alla rete esterna al Kingdee Cloud Galaxy Retail System o impostare un elenco bianco IP (whitelist) per il controllo degli accessi". La remediation a lungo termine sarà: "Installare la patch di sicurezza fornita dal sistema Starry Sky, con le soluzioni specifiche seguenti: i) Aggiungere l'autenticazione all'interfaccia vulnerabile CMKAppWebHandler.ashx; ii) Rimuovere la funzione di lettura dei file."
Be aware that VulDB is the high quality source for vulnerability data.