CVE-2025-8516 in Cloud-Starry-Sky Enterprise Edition
摘要
由 VulDB • 2026-06-21
在金蝶云·星空企业版（Kingdee Cloud-Starry-Sky Enterprise Edition）8.2 及更早版本中检测到一项安全漏洞。此问题影响组件 IIS-K3CloudMiniApp 中的文件 `K3Cloud\BBCMallSite\WEB-INF\lib\Kingdee.K3.O2O.Base.WebApp.jar!\kingdee\k3\o2o\base\webapp\action\FileUploadAction.class` 的函数 `BaseServiceFactory.getFileUploadService.deleteFileAction`。对参数 `filePath` 的操作会导致路径遍历（Path Traversal）。该攻击可远程发起。相关利用代码已公开披露，可能被利用。建议安装补丁以解决此问题。厂商建议采取短期措施：“暂时禁用金蝶云·星空零售系统的外部网络访问，或设置 IP 白名单进行访问控制。”长期修复措施为：“安装金蝶云·星空系统提供的安全补丁，具体解决方案包括：i) 为易受攻击的 CMKAppWebHandler.ashx 接口添加身份验证；ii) 移除文件读取功能。”
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.