CVE-2026-111620
Açıklama
10.0.2-ce sürümü dahil O2OA, kimliği doğrulanmış kullanıcıların diğer çalışmalardan ekleri indirmesine izin veren x_processplatform_assemble_surface bileşeninde bir kimlik doğrulama atlatma zafiyeti içermektedir. ActionDownloadWithWork ve ActionDownloadWithWorkStream, istenen ek kimliğinin referans verilen çalışmaya veya taslağa ait olduğunu hiçbir zaman doğrulamamaktadır; bu nedenle ziyaret edilebilir herhangi bir çalışma veya sahiplinilen bir taslak sağlanabilmektedir. Bir ekin UUID değerini bilen saldırganlar, diğer kullanıcıların süreçlerine eklenen belgeleri okumak için jaxrs/attachment/download/{id}/work/{workId} üzerinden talepte bulunabilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| O2OA O2OA | v ≤ 10.0.2-ce | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.