VDB-309847 · Submit #570956 · CVE-2025-5029

Kingdee Cloud Galaxy Private Cloud BBC System до 9.0 Patch April 2025 File deleteFileAction.jhtml filePath обход каталога

СводкаИнформация

Была найдена уязвимость, отнесённая к категории критический, в Kingdee Cloud Galaxy Private Cloud BBC System до 9.0 Patch April 2025. Неизвестная функция файла fileUpload/deleteFileAction.jhtml компонента File Handler затронута. Осуществление манипуляции над аргументом filePath приводит к обход каталога. Уязвимость зарегистрирована как CVE-2025-5029. Атака может быть инициирована удаленно. Более того, существует эксплойт. Рекомендуется установить обновление для решения этой проблемы.

ПодробностиИнформация

Была найдена уязвимость, отнесённая к категории критический, в Kingdee Cloud Galaxy Private Cloud BBC System до 9.0 Patch April 2025. Неизвестная функция файла fileUpload/deleteFileAction.jhtml компонента File Handler затронута. Осуществление манипуляции над аргументом filePath приводит к обход каталога. Декларирование проблемы с помощью CWE приводит к CWE-22. Информация о слабости была опубликована под номером KDPSIRT-2025-00091. Консультация доступна для скачивания по адресу wx.mail.qq.com.

Уязвимость зарегистрирована как CVE-2025-5029. Атака может быть инициирована удаленно. Имеются технические подробности. Уровень популярности этой уязвимости ниже среднего значения. Более того, существует эксплойт. Эксплойт был раскрыт общественности и может быть использован. Сейчас цена на эксплойт приблизительно равна USD $0-$5k. В проекте MITRE ATT&CK эта техника атаки обозначена как T1006.

Указано значение Доказательство концепции. Эксплойт доступен по адресу wx.mail.qq.com.

Обновление уже доступно для загрузки по адресу vip.kingdee.com. Рекомендуется установить обновление для решения этой проблемы.

ПродуктИнформация

Тип

Cloud Software

Поставщик

Kingdee

Имя

Cloud Galaxy Private Cloud BBC System

Версия

9.0 Patch April 2025

CPE 2.3Информация

🔒

CPE 2.2Информация

🔒

CVSSv4Информация

VulDB Вектор: 🔒
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 5.4
VulDB Meta Temp Score: 4.9

VulDB Базовый балл: 5.4
VulDB Временная оценка: 4.9
VulDB Вектор: 🔒
VulDB Надёжность: 🔍

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать	Разблокировать

VulDB Базовый балл: 🔒
VulDB Временная оценка: 🔒
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: обход каталога
CWE: CWE-22
CAPEC: 🔒
ATT&CK: 🔒

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔒
Доступ: публичный
Статус: Доказательство концепции
Скачать: 🔒

EPSS Score: 🔒
EPSS Percentile: 🔒

Прогноз цен: 🔍
Оценка текущей цены: 🔒

0-Day	Разблокировать	Разблокировать	Разблокировать	Разблокировать
Сегодня	Разблокировать	Разблокировать	Разблокировать	Разблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Патч
Статус: 🔍

0-дневное время: 🔒

Патч: vip.kingdee.com

ХронологияИнформация

09.05.2025 Контрмера опубликована
21.05.2025 +12 дни Консультация опубликована
21.05.2025 +0 дни Запись VulDB создана
21.05.2025 +0 дни Последнее обновление VulDB