PT-2025-50099 · Rockoa · Rockoa

Publicado 2025-12-09 · Atualizado 2025-12-22 · CVE-2025-63740

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Xinhu Rainrock RockOA versão 2.7.0

Descrição Existe uma vulnerabilidade de Injeção de SQL na função getselectdataAjax localizada no arquivo inputAction.php. Isso permite que invasores obtenham informações sensíveis, incluindo contas de administrador, hashes de senha e a estrutura do banco de dados, mediante a manipulação do parâmetro actstr.

Recomendações Atualize para uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida temporária, restrinja o acesso ao arquivo inputAction.php ou à função getselectdataAjax até que um patch esteja disponível.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-63740

Produtos afetados

Rockoa

Referências · 4

• 🔥 https://github.com/rainrocka/xinhu/issues/13 · Exploit
• https://twitter.com/CVEnew/status/2003233985741357547 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-63740 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-63740 · Aviso do Fabricante