PT-2025-27075 · Kingdee+1 · Kingdee Cloud-Starry-Sky Enterprise Edition+1

Caichaoxiong · Publicado 2025-06-27 · Atualizado 2025-07-02 · CVE-2025-6761

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas: Kingdee Cloud-Starry-Sky Enterprise Edition versões 6.x até 9.0

Descrição: Foi identificada uma falha crítica, afetando a função plugin.buildMobilePopHtml do arquivo k3o2oboswebappactionDynamicForm 4 Action.class do componente Freemarker Engine. Esta falha resulta na neutralização inadequada de elementos especiais utilizados em um mecanismo de template, permitindo ataques remotos. O exploit foi divulgado publicamente.

Recomendações: Para o Kingdee Cloud-Starry-Sky Enterprise Edition versões 6.x até 9.0, recomenda-se atualizar o componente afetado, pois a versão corrigida configura o Freemarker como 'ALLOWS NOTHING RESOLVER' para impedir a análise de quaisquer classes.

Correção

Enumeração de Fraquezas

CWE-1336

CWE-791

Identificadores relacionados

CVE-2025-6761

Produtos afetados

Freemarker Engine

Kingdee Cloud-Starry-Sky Enterprise Edition

Referências · 9

• https://vuldb.com/?id.314072 · Nota
• https://twitter.com/CVEnew/status/1938551952540852440 · Publicação no Twitter
• https://twitter.com/cracbot/status/1940364882735497643 · Publicação no Twitter
• https://vuldb.com/?submit.601207 · Nota
• https://vip.kingdee.com/school/detail/713028702245944320 · Correção
• https://t.me/cvetracker/27227 · Publicação no Telegram
• https://vuldb.com/?ctiid.314072 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-6761 · Nota de Segurança
• https://vip.kingdee.com/link/s/ZlWX7 · Nota