CVE-2025-8516

Kingdee Cloud-Starry-Sky Enterprise Edition versiya 8.2-dək olan versiyalarda təhlükəsizlik boşluğu aşkar edilmişdir. Bu problem IIS-K3CloudMiniApp komponentinin K3Cloud\BBCMallSite\WEB-INF\lib\Kingdee.K3.O2O.Base.WebApp.jar!\kingdee\k3\o2o\base\webapp\action\FileUploadAction.class faylının BaseServiceFactory.getFileUploadService.deleteFileAction funksiyasına təsir edir. filePath arqumentinin manipulyasiyası yol keçidlərinə (path traversal) səbəb olur. Hücum uzaqdan başladıla bilər. Eksployt açıq şəkildə yayılıb və istifadə edilə bilər. Problemi həll etmək üçün yamanın (patch) quraşdırılması tövsiyə olunur. Vendor qısamüddətli tədbir kimi "Kingdee Cloud Galaxy Retail System-ə xarici şəbəkə girişini müvəqqəti olaraq deaktiv etməyi və ya giriş kontrolu üçün IP ağ siyahısı (whitelist) qurmağı" tövsiyə edir. Uzunmüddətli həll yolu aşağıdakılardır: "Starry Sky sistemi tərəfindən təmin edilən təhlükəsizlik yamasını quraşdırmaq, konkret həllər isə bunlardır: i) Zəifliyi olan CMKAppWebHandler.ashx interfeysinə autentifikasiyanın əlavə edilməsi; ii) Fayl oxuma funksiyasının silinməsi."