CVE-2023-38988
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W funkcji usuwania w klasie OaNotifyController w jeesite v1.2.6 występuje problem, który pozwala uwierzytelnionym atakującym na dowolne usuwanie powiadomień stworzonych przez administratorów.
Ocena ryzyka
Atakujący mogą usunąć istotne powiadomienia, co może prowadzić do utraty ważnych informacji i zakłócenia w działaniu systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji jeesite oraz wprowadzenie dodatkowych kontroli dostępu do funkcji usuwania powiadomień.
Inne podatności w jeesite v1.2.6
Zobacz wszystkie- CVE-2026-36762Wysokie
Wersja 5.15.1 JeeSite zawiera lukę w parametrze fileEntityId w punkcie końcowym /a/file/upload, która pozwala uwierzytelnionym atakującym z uprawnieniami do przesyłania plików na wykonanie ataku typu path traversal oraz zapisanie dowolnych plików z dozwolonymi rozszerzeniami w dowolnych lokalizacjach systemu plików.
- CVE-2023-38991Średnie
Problem w funkcji usuwania w klasie ActModelController w jeesite v1.2.6 pozwala uwierzytelnionym atakującym na dowolne usunięcie modeli stworzonych przez Administratora.
Oryginalny opis (angielski, źródło NVD)
An issue in the delete function in the OaNotifyController class of jeesite v1.2.6 allows authenticated attackers to arbitrarily delete notifications created by Administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS