CVE-2025-8516 in Cloud-Starry-Sky Enterprise Edition
Сводка
по VulDB • 27.06.2026
Обнаружена уязвимость безопасности в версии Kingdee Cloud-Starry-Sky Enterprise Edition вплоть до 8.2. Данная проблема затрагивает функцию BaseServiceFactory.getFileUploadService.deleteFileAction файла K3Cloud\BBCMallSite\WEB-INF\lib\Kingdee.K3.O2O.Base.WebApp.jar!\kingdee\k3\o2o\base\webapp\action\FileUploadAction.class компонента IIS-K3CloudMiniApp. Манипуляция с аргументом filePath приводит к обходу ограничений пути (path traversal). Атака может быть инициирована удаленно. Эксплойт был опубликован в открытом доступе и может быть использован. Рекомендуется установить патч для устранения данной проблемы. Поставщик рекомендует в качестве краткосрочной меры «[временно] отключить внешний сетевой доступ к системе Kingdee Cloud Galaxy Retail System или настроить белый список IP-адресов для контроля доступа». Долгосрочные меры по устранению уязвимости включают: «Установку патча безопасности, предоставленного системой Starry Sky, с конкретными решениями: i) Добавление аутентификации к уязвимому интерфейсу CMKAppWebHandler.ashx; ii) Удаление функции чтения файлов».
If you want to get best quality of vulnerability data, you may have to visit VulDB.