CVE-2025-14674

ŚrednieCVSS 6.3

Opublikowano: 14/12/2025(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

W narzędziu aizuda snail-job do wersji 1.6.0 wykryto podatność na iniekcję w funkcji QLExpressEngine.doEval w pliku QLExpressEngine.java. Atak może być przeprowadzony zdalnie. Problem został naprawiony w wersji 1.7.0-beta1.

Ocena ryzyka

Atakujący może zdalnie wykonać nieautoryzowane operacje w systemie, co może prowadzić do naruszenia integralności danych lub przejęcia kontroli nad aplikacją.

Rekomendacja

Należy jak najszybciej zaktualizować snail-job do wersji 1.7.0-beta1 lub nowszej, która zawiera poprawkę.

Inne podatności w aizuda snail-job

CVE-2025-15246Średnie
Wykryto podatność w aizuda snail-job do wersji 1.7.0 na macOS. Dotyczy ona funkcji FurySerializer.deserialize w komponencie API. Manipulacja argumentem argsStr powoduje deserializację. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in aizuda snail-job up to 1.6.0. Affected by this vulnerability is the function QLExpressEngine.doEval of the file snail-job-common/snail-job-common-core/src/main/java/com/aizuda/snailjob/common/core/expression/strategy/QLExpressEngine.java. The manipulation results in injection. The attack can be launched remotely. Upgrading to version 1.7.0-beta1 addresses this issue. The patch is identified as 978f316c38b3d68bb74d2489b5e5f721f6675e86. The affected component should be upgraded.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS