Tongda OA 2017: SQL-Injection in delete.php

Beschreibung

Tongda OA 2017 Version 11.10 verarbeitet den Parameter DELETE_STR der Datei general/system/approve_center/flow_guide/flow_type/set_print/delete.php unzureichend geprüft, wodurch eine SQL-Injection möglich wird. Der Angriff kann remote erfolgen, ein Exploit wurde bereits öffentlich bekannt gemacht; die Schwachstelle trägt die Kennung VDB-243586. Der Hersteller wurde laut Quelle frühzeitig kontaktiert, hat aber nicht reagiert. CVSS-Basiswert: 7.3 (Hoch). Zugeordnet ist die Schwachstelle dem Hersteller Microsoft.

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Microsoft Office (Word/Excel/PowerPoint/Outlook)

• Microsoft SharePoint: Deserialisierung nicht vertrauenswürdiger Daten (RCE) KEV CVE-2026-50522
• Microsoft Office SharePoint – Umgehung eines Sicherheitsmerkmals durch schwache Authentifizierung KEV CVE-2026-55040
• Microsoft SharePoint – Remote-Codeausführung durch unsichere Deserialisierung KEV CVE-2026-58644
• Microsoft Office Remote Code Execution KEV CVE-2009-0238
• Microsoft Visual Basic for Applications – Insecure Library Loading KEV CVE-2012-1854
• Microsoft Office Word – Umgehung von Sicherheitsentscheidungen durch unsichere Eingaben KEV CVE-2026-21514