CVE-2023-37754
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
W wersji 4.3.3 PowerJob odkryto podatność na zdalne wykonanie polecenia (RCE) poprzez parametr instanceId w ścieżce /instance/detail.
Ocena ryzyka
Podatność ta może umożliwić atakującym zdalne wykonywanie poleceń na serwerze, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji PowerJob, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Inne podatności w PowerJob v4.3.3
Zobacz wszystkie- CVE-2026-75429Nieznane
PowerJob w wersjach 4.x do 5.1.2 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu w punkcie końcowym /friend/process warstwy transportowej Server-Worker.
- CVE-2026-82630Wysokie
Zidentyfikowano podatność w PowerJob do wersji 5.1.2. Dotyczy ona funkcji MuConnectionManager.getOrCreateConnection w pliku powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java komponentu Transport Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-5739Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 stwierdzono podatność w funkcji GroovyEvaluator.evaluate pliku /openApi/addWorkflowNode komponentu OpenAPI Endpoint. Manipulacja argumentem nodeParams prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-5736Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 w pliku InstanceController.java endpoint detailPlus jest podatny na iniekcję SQL przez argument customQuery. Atak może być przeprowadzony zdalnie. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2023-36106Wysokie
W podatności CVE-2023-36106 występuje nieprawidłowa kontrola dostępu w powerjob w wersji 4.3.2 i wcześniejszych, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez interfejs zapytań z użyciem parametru appId do /container/list.
Oryginalny opis (angielski, źródło NVD)
PowerJob v4.3.3 was discovered to contain a remote command execution (RCE) vulnerability via the instanceId parameter at /instance/detail.