CVE-2025-11580
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
PowerJob w wersjach do 5.1.2 zawiera podatność braku autoryzacji w funkcji list pliku /user/list. Manipulacja tą funkcją pozwala na nieautoryzowany dostęp do listy użytkowników. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może uzyskać dostęp do listy użytkowników bez autoryzacji, co może prowadzić do dalszych ataków, takich jak próby brute force lub phishing. Ryzyko dotyczy organizacji korzystających z PowerJob.
Rekomendacja
Zaktualizuj PowerJob do wersji nowszej niż 5.1.2, jeśli jest dostępna. Do czasu aktualizacji ogranicz dostęp do punktu końcowego /user/list.
Inne podatności w PowerJob
Zobacz wszystkie- CVE-2026-75429Krytyczne
PowerJob w wersjach 4.x do 5.1.2 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu w punkcie końcowym /friend/process warstwy transportowej Server-Worker.
- CVE-2023-37754Krytyczne
W wersji 4.3.3 PowerJob odkryto podatność na zdalne wykonanie polecenia (RCE) poprzez parametr instanceId w ścieżce /instance/detail.
- CVE-2026-82630Wysokie
Zidentyfikowano podatność w PowerJob do wersji 5.1.2. Dotyczy ona funkcji MuConnectionManager.getOrCreateConnection w pliku powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java komponentu Transport Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-5739Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 stwierdzono podatność w funkcji GroovyEvaluator.evaluate pliku /openApi/addWorkflowNode komponentu OpenAPI Endpoint. Manipulacja argumentem nodeParams prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-5736Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 w pliku InstanceController.java endpoint detailPlus jest podatny na iniekcję SQL przez argument customQuery. Atak może być przeprowadzony zdalnie. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2025-14518Średnie
W PowerJob do wersji 5.1.2 zidentyfikowano podatność w funkcji checkConnectivity w pliku src/main/java/tech/powerjob/common/utils/net/PingPongUtils.java komponentu Network Request Handler. Manipulacja argumentami targetIp/targetPort prowadzi do podatności server-side request forgery (SSRF).
- CVE-2025-11581Średnie
W PowerJob do wersji 5.1.2 wykryto podatność w pliku /openApi/runJob komponentu OpenAPIController, polegającą na braku autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2023-36106Wysokie
W podatności CVE-2023-36106 występuje nieprawidłowa kontrola dostępu w powerjob w wersji 4.3.2 i wcześniejszych, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez interfejs zapytań z użyciem parametru appId do /container/list.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in PowerJob up to 5.1.2. This affects the function list of the file /user/list. This manipulation causes missing authorization. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS