CVE-2025-14518
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W PowerJob do wersji 5.1.2 zidentyfikowano podatność w funkcji checkConnectivity w pliku src/main/java/tech/powerjob/common/utils/net/PingPongUtils.java komponentu Network Request Handler. Manipulacja argumentami targetIp/targetPort prowadzi do podatności server-side request forgery (SSRF).
Ocena ryzyka
Zdalny atakujący może wymusić na serwerze żądania do wewnętrznych zasobów, co może prowadzić do ujawnienia informacji lub dalszych ataków. Exploit jest publicznie dostępny i może być wykorzystany.
Rekomendacja
Ogranicz możliwość manipulacji parametrami targetIp/targetPort oraz monitoruj ruch wychodzący z serwera; rozważ aktualizację, gdy dostępna będzie poprawka.
Inne podatności w PowerJob
Zobacz wszystkie- CVE-2026-75429Krytyczne
PowerJob w wersjach 4.x do 5.1.2 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu w punkcie końcowym /friend/process warstwy transportowej Server-Worker.
- CVE-2023-37754Krytyczne
W wersji 4.3.3 PowerJob odkryto podatność na zdalne wykonanie polecenia (RCE) poprzez parametr instanceId w ścieżce /instance/detail.
- CVE-2026-82630Wysokie
Zidentyfikowano podatność w PowerJob do wersji 5.1.2. Dotyczy ona funkcji MuConnectionManager.getOrCreateConnection w pliku powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java komponentu Transport Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-5739Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 stwierdzono podatność w funkcji GroovyEvaluator.evaluate pliku /openApi/addWorkflowNode komponentu OpenAPI Endpoint. Manipulacja argumentem nodeParams prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-5736Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 w pliku InstanceController.java endpoint detailPlus jest podatny na iniekcję SQL przez argument customQuery. Atak może być przeprowadzony zdalnie. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2025-11581Średnie
W PowerJob do wersji 5.1.2 wykryto podatność w pliku /openApi/runJob komponentu OpenAPIController, polegającą na braku autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11580Średnie
PowerJob w wersjach do 5.1.2 zawiera podatność braku autoryzacji w funkcji list pliku /user/list. Manipulacja tą funkcją pozwala na nieautoryzowany dostęp do listy użytkowników. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2023-36106Wysokie
W podatności CVE-2023-36106 występuje nieprawidłowa kontrola dostępu w powerjob w wersji 4.3.2 i wcześniejszych, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez interfejs zapytań z użyciem parametru appId do /container/list.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in PowerJob up to 5.1.2. This vulnerability affects the function checkConnectivity of the file src/main/java/tech/powerjob/common/utils/net/PingPongUtils.java of the component Network Request Handler. The manipulation of the argument targetIp/targetPort leads to server-side request forgery. Remote exploitation of the attack is possible. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS