یک آسیب‌پذیری از نوع تزریق SQL (SQL Injection) با شناسه CVE-2026-124331 در پلتفرم همکاری و مدیریت دفتر (Office Suite) محصول Jinher OA C6 شناسایی شده است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا از طریق پارامتر ProjID در یک نقطه انتهایی (Endpoint) مشخص، دستورات مخرب خود را به پایگاه داده ارسال کنند.
جزئیات فنی و سطح دسترسی
آسیب‌پذیری مذکور در مسیر /C6/JHSoft.Web.Project/OfficeReadOnly/ProjectAfficheManage.aspx قرار دارد. با توجه به بردار CVSS (AV:N/AC:L/PR:N/UI:N)، این حمله می‌تواند به صورت از راه دور (Remote)، با پیچیدگی پایین (Low Complexity) و بدون نیاز به احراز هویت (Unauthenticated) انجام شود. اگرچه تأثیر این حمله بر محرمانگی، یکپارچگی و در دسترس بودن (CIA) در سطح پایین (Low) ارزیابی شده است، اما امکان دستکاری یا خواندن داده‌های پروژه‌ها و اطلاعیه‌ها وجود دارد.
وضعیت وصله امنیتی و پاسخ سازنده
تا لحظه انتشار این گزارش، هیچ وصله امنیتی (Patch) رسمی از سوی شرکت Jinher ارائه نشده است. گزارش‌ها حاکی از آن است که با سازنده در این زمینه تماس گرفته شده، اما پاسخی دریافت نشده است. همچنین، اگرچه یک نمونه کد اثبات مفهوم (PoC) در GitHub منتشر شده، اما صحت و کارایی آن هنوز به طور کامل تأیید نشده است.
اقدامات پیشنهادی برای مدیران امنیت
از آنجایی که وصله امنیتی در دسترس نیست، توصیه می‌شود اقدامات زیر برای کاهش سطح حمله (Attack Surface) انجام شود:
- محدودسازی دسترسی: مسیر آسیب‌پذیر را از طریق یک فایروال اپلیکیشن وب (WAF) یا Reverse Proxy مسدود کنید.
- کنترل دسترسی شبکه: دسترسی به این نقطه انتهایی را تنها به محدوده‌های شبکه داخلی مورد اعتماد یا از طریق VPN محدود کنید.
- بازرسی درخواست‌ها: قوانین بازرسی (Inspection Rules) را در WAF فعال کنید تا کاراکترهای خاص SQL در پارامتر
ProjIDشناسایی و مسدود شوند.
