Уязвимость была выявлена в O2OA до 9.0.0. Это влияет на неизвестную функцию файла /x_program_center/jaxrs/mpweixin/check компонента HTTP PO…
Уязвимость была выявлена в O2OA до 9.0.0. Это влияет на неизвестную функцию файла /x_program_center/jaxrs/mpweixin/check компонента HTTP POST Request Обработчик. Манипуляция приводит к xml внешнему объекту ссылки. Можно инициировать атаку удаленно. Эксплойт является общедоступным и может быть использован. С поставщиком связались рано по поводу этого раскрытия, но он никоим образом не ответил.
Продукт использует управляемое извне имя или ссылку, разрешающуюся в ресурс, находящийся за пределами предусмотренной сферы контроля.
https://cwe.mitre.org/data/definitions/610.html →Открыть в коллекции CWE →Злоумышленник компрометирует промежуточную систему, используемую для обработки XML-содержимого, и принуждает её изменять и/или перенаправлять обработку содержимого. Атаки с обходом маршрутизации XML являются атаками типа «злоумышленник посередине» (CAPEC-94). Злоумышленник компрометирует или внедряет промежуточную систему в процессе обработки XML-сообщения. Например, WS-Routing может использоваться для задания ряда узлов или промежуточных элементов, через которые проходит содержимое. Если любой из промежуточных узлов в этом маршруте скомпрометирован злоумышленником, он может использоваться для атаки с обходом маршрутизации. Из скомпрометированной системы злоумышленник способен направлять XML-обработку на другие узлы по своему выбору и изменять ответы так, чтобы нормальная цепочка обработки не знала о перехвате. Данная система может пересылать сообщение внешнему объекту и скрывать пересылку и обработку от легитимных систем обработки путём изменения информации заголовка.
https://capec.mitre.org/data/definitions/219.html →Открыть в коллекции CAPEC →