CVE-2023-33779
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
W XXL-Job v2.4.1 wykryto podatność na eskalację uprawnień w poziomie, która umożliwia użytkownikowi wykonanie dowolnych poleceń na koncie innego użytkownika poprzez spreparowane żądanie POST do komponentu /jobinfo/.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontem innego użytkownika, co prowadzi do nieautoryzowanego dostępu do danych i możliwości wykonywania zadań w jego imieniu.
Rekomendacja
Należy natychmiast zaktualizować XXL-Job do najnowszej wersji, która usuwa tę podatność, oraz ograniczyć dostęp do komponentu /jobinfo/ tylko dla zaufanych użytkowników.
Inne podatności w XXL-Job
Zobacz wszystkie- CVE-2026-52371Średnie
xxl-job w wersji 3.4.0 zawiera podatność SSRF w komponencie xxl-job-admin/jobinfo/trigger. Uwierzytelnieni atakujący mogą skanować zasoby poprzez spreparowane żądanie HTTP.
- CVE-2026-65316Średnie
XXL-Job w wersji 2.4.2 ma podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Uwierzytelnieni użytkownicy mogą odczytywać logi wykonania zadań z grup, do których nie mają dostępu, podając sekwencyjne identyfikatory logów do endpointu logDetailCat.
Oryginalny opis (angielski, źródło NVD)
A lateral privilege escalation vulnerability in XXL-Job v2.4.1 allows users to execute arbitrary commands on another user's account via a crafted POST request to the component /jobinfo/.