یک آسیب‌پذیری امنیتی در نسخه 5.x نرم‌افزار Yonyou U8cloud شناسایی شده است که امکان اجرای حملات تزریق کد SQL (SQL Injection) را فراهم می‌کند. این نقص امنیتی در بخش OpenAPI و به‌طور مشخص در فایل /u8cloud/openapi/so.saleorder.sendaudit رخ داده است.
جزئیات فنی و مکانیسم حمله
بررسی‌ها نشان می‌دهد که دستکاری در آرگومان operator منجر به بروز این آسیب‌پذیری می‌شود. مهاجم می‌تواند از طریق این نقطه ورود، دستورات SQL دلخواه خود را به پایگاه داده ارسال کند. با توجه به ماهیت این نقص، دسترسی به داده‌های حساس (Confidentiality) در سطح بالایی قرار دارد و امکان خواندن کامل پایگاه داده وجود دارد، در حالی که تأثیر بر یکپارچگی داده‌ها (Integrity) محدودتر است.
شرایط بهره‌برداری (Exploitation)
- احراز هویت: برای اجرای این حمله، مهاجم باید دارای یک حساب کاربری با سطح دسترسی پایین (Low-privilege) در OpenAPI باشد.
- دسترسی شبکه: حمله به‌صورت از راه دور (Remote) قابل اجراست و نیازی به تعامل کاربر (User Interaction) ندارد.
- وضعیت اکسپلویت: کد بهره‌برداری (Exploit) این آسیب‌پذیری به‌صورت عمومی منتشر شده است که ریسک مورد استفاده قرار گرفتن آن را افزایش می‌دهد.
ارزیابی ریسک
این آسیب‌پذیری تحت شناسه CVE-2026-94492 ثبت شده است. اگرچه امتیاز کلی آن در برخی تحلیل‌ها پایین ارزیابی شده، اما قابلیت استخراج داده‌های حساس از Backend Database، آن را برای سازمان‌هایی که از این نرم‌افزار استفاده می‌کنند، به یک تهدید جدی تبدیل می‌کند. لازم به ذکر است که تا این لحظه، پاسخ رسمی یا وصله‌ای (Patch) از سوی سازنده برای رفع این مورد منتشر نشده است.
