Vulnerabilidad · Publicado 11/10/2026
Se ha identificado una vulnerabilidad de inyección SQL en Xinhu Rainrock RockOA versiones hasta 2.7.6 en el componente Openkqj Action (archivo openkqjAction.php). Un atacante remoto puede manipular el parámetro ID para ejecutar comandos SQL arbitrarios en la base de datos del sistema. El exploit está disponible públicamente, aumentando el riesgo inmediato para empresas en LATAM que usan esta plataforma de gestión documental.
A weakness has been identified in Xinhu Rainrock RockOA up to 2.7.6. This impacts the function kqjcmdModel::returnchuli of the file webmain/task/openapi/openkqjAction.php of the component Openkqj Action. This manipulation of the argument ID causes sql injection. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Score: 7.3/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
CWE-74, CWE-89
Publicado en NIST NVD.