CVE-2025-12305
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W aplikacji quequnlong shiyi-blog do wersji 1.2.1 wykryto podatność deserializacji w nieznanej funkcji pliku SysJobController.java (komponent Job Handler). Możliwe jest zdalne wykorzystanie podatności, a publiczny exploit jest już dostępny.
Ocena ryzyka
Atakujący może zdalnie wykonać złośliwy kod w kontekście aplikacji, co może prowadzić do pełnego przejęcia serwera lub wycieku danych.
Rekomendacja
Zaktualizuj shiyi-blog do najnowszej wersji, jeśli jest dostępna, lub wyłącz/ogranicz dostęp do funkcji obsługi zadań (Job Handler) do zaufanych sieci.
Inne podatności w shiyi-blog
Zobacz wszystkie- CVE-2026-90567Niskie
W quequnlong shiyi-blog do wersji 1.2.1 wykryto lukę w funkcji highlightKeyword w pliku blog-web/src/components/Search/index.vue komponentu Search. Manipulacja argumentami title/summary prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie.
- CVE-2026-90564Niskie
W quequnlong shiyi-blog (wersje 1.0.0–1.2.1) zidentyfikowano podatność w funkcji SysChatMsgMapper.getChatMsgList w pliku blog-web/src/views/chat/index.vue komponentu chat sendMsg Endpoint. Manipulacja argumentem chat_msg prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-90527Średnie
W systemie quequnlong shiyi-blog do wersji 1.2.1 wykryto podatność typu cross site scripting w pliku blog-admin/src/views/message/message/index.vue w komponencie Add Message API. Manipulacja argumentem body.content prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in quequnlong shiyi-blog up to 1.2.1. This impacts an unknown function of the file src/main/java/com/mojian/controller/SysJobController.java of the component Job Handler. The manipulation results in deserialization. The attack can be executed remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS