CVE-2025-8516 in Cloud-Starry-Sky Enterprise Edition
Sumário
de VulDB • 24/06/2026
Foi detectada uma vulnerabilidade de segurança na edição empresarial Kingdee Cloud-Starry-Sky até a versão 8.2. Este problema afeta a função BaseServiceFactory.getFileUploadService.deleteFileAction do arquivo K3Cloud\BBCMallSite\WEB-INF\lib\Kingdee.K3.O2O.Base.WebApp.jar!\kingdee\k3\o2o\base\webapp\action\FileUploadAction.class, pertencente ao componente IIS-K3CloudMiniApp. A manipulação do argumento filePath leva a uma traversia de caminho (path traversal). O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. Recomenda-se instalar um patch para resolver este problema. O fornecedor recomenda, como medida temporária, "[d]esativar temporariamente o acesso à rede externa ao Kingdee Cloud Galaxy Retail System ou configurar uma lista branca de IPs (whitelist) para controle de acesso." A correção a longo prazo será: "Instalar o patch de segurança fornecido pelo sistema Starry Sky, sendo as soluções específicas: i) Adicionar autenticação à interface vulnerável CMKAppWebHandler.ashx; ii) Remover a função de leitura de arquivos."
If you want to get best quality of vulnerability data, you may have to visit VulDB.