CVE-2025-8516 in Cloud-Starry-Sky Enterprise Edition
要約
〜によって VulDB • 2026年06月22日
Kingdee Cloud-Starry-Sky Enterprise Edition 8.2 以前のバージョンにセキュリティ脆弱性が検出されました。この問題は、コンポーネント IIS-K3CloudMiniApp のファイル K3Cloud\BBCMallSite\WEB-INF\lib\Kingdee.K3.O2O.Base.WebApp.jar!\kingdee\k3\o2o\base\webapp\action\FileUploadAction.class 内の関数 BaseServiceFactory.getFileUploadService.deleteFileAction に影響を与えます。引数 filePath の操作により、パストラバーサル（ディレクトリトラバーサル）が可能になります。攻撃はリモートから開始できます。この脆弱性を悪用するエクスプロイトは公に開示されており、使用可能です。この問題を解決するためにパッチのインストールを推奨します。ベンダーは、短期的な対策として「Kingdee Cloud Galaxy Retail System への外部ネットワークアクセスを一時的に無効にするか、アクセス制御のために IP ホワイトリストを設定する」ことを推奨しています。長期的な修正策は以下の通りです。「Starry Sky システムが提供するセキュリティパッチをインストールする。具体的な解決策は以下の通りです：i) 脆弱な CMKAppWebHandler.ashx インターフェースに認証を追加する；ii) ファイル読み取り機能を削除する。」
If you want to get best quality of vulnerability data, you may have to visit VulDB.