CVE-2026-112182

Bản dịch tiêu đề

Lỗ hổng không xác minh trong quản lý định dạng quy trình trong OpenKM Community Edition. Các endpoint REST `registerProcessDefinition` và `runProcessDefinition` yêu cầu xác minh nhưng không kiểm tra vai trò trong Service WorkflowService hoặc trong các tầng thấp hơn. Một người tấn công có vai trò `ROLE_USER` có thể đăng ký và thực thi quy trình định dạng chứa các script BeanShell, cho phép họ thực hiện mã Java và các lệnh hệ thống với quyền truy cập của dịch vụ. Trong hình ảnh Docker chính thức, quy trình chạy như root.

Bạn tra cứu quá nhanh — thử lại sau 10 giây.

CVSS (NVD)

8.7 · HIGH

Loại lỗi (CWE)

CWE-862

EPSS (FIRST)

0.37% khả năng bị khai thác trong 30 ngày