یک آسیب‌پذیری امنیتی در نرم‌افزار sfturing hosp_order شناسایی شده است که منجر به ذخیره‌سازی اطلاعات حساس به صورت متن ساده (Cleartext) می‌شود. این نقص امنیتی در فایل CommonUserServiceImpl.java در مسیر ssm_pro/src/main/java/cn/sfturing/service/impl/ رخ داده است.
جزئیات فنی و تحلیل
این آسیب‌پذیری از نوع CWE-312 (ذخیره‌سازی متن ساده اطلاعات حساس) است. بر اساس تحلیل‌های صورت گرفته، یک عامل تهدید (Threat Actor) با دسترسی محلی و سطح دسترسی پایین (Low-privilege)، می‌تواند بدون نیاز به تعامل کاربر، داده‌های افشا شده را بخواند.
- بردار حمله (Attack Vector): محلی (Local)
- پیش‌نیاز: داشتن حساب کاربری احرازشده با سطح دسترسی پایین
- تاثیر: نقض محرمانگی (Confidentiality) در سطح پایین
- امتیاز CVSS 4.0: 1.9 (Low)
وضعیت اصلاحیه و پاسخ سازنده
به دلیل استفاده این پروژه از مدل انتشار جاری (Rolling Releases)، جزئیات دقیق نسخه‌های آسیب‌پذیر و اصلاح‌شده در دسترس نیست. گزارش‌های دریافتی حاکی از آن است که تیم توسعه sfturing با وجود اطلاع از این مشکل، هنوز پاسخی برای رفع آن ارائه نداده است و در حال حاضر هیچ نسخه اصلاح‌شده‌ای (Fixed Version) برای این نقص امنیتی وجود ندارد.
