CVE-2026-100881
NiskieCVSS 2.6Streszczenie
Wykryto podatność w zhistaredu StarTraining do wersji 3.8.1. Dotyczy nieznanego przetwarzania w pliku application.yml. Manipulacja argumentem xss.enabled prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest wysoce złożony i trudny do wykorzystania. Exploit został publicznie ujawniony i może być użyty. Nie jest samodzielnie wykorzystywalny: brak obrony w głąb, który wzmacnia CVE-2026-100880. Producent został skontaktowany, ale nie odpowiedział.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku XSS, ale ze względu na wysoką złożoność i trudność wykorzystania, realne zagrożenie jest ograniczone. Jednak publiczny exploit zwiększa ryzyko ataku.
Rekomendacja
Zaleca się aktualizację StarTraining do wersji nowszej niż 3.8.1, jeśli dostępna, oraz wdrożenie dodatkowych zabezpieczeń (defense-in-depth) w celu złagodzenia skutków.
Inne podatności w StarTraining
Zobacz wszystkie- CVE-2026-100879Średnie
W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji checkRoleAllowed w pliku SysRoleServiceImpl.java komponentu dataScope Endpoint. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.
- CVE-2026-100878Średnie
W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji SysUser.isAdmin w pliku edu-common/src/main/java/com/edu/common/core/domain/entity/SysUser.java komponentu authRole Endpoint. Manipulacja argumentami userId/roleIds prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie.
- CVE-2026-97879Średnie
W zhistaredu StarTraining do wersji 3.8.1 włącznie odkryto lukę w nieznanej funkcji pliku SecurityConfig.java komponentu api-docs Endpoint, która prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in zhistaredu StarTraining up to 3.8.1. This issue affects some unknown processing of the file application.yml. Such manipulation of the argument xss.enabled leads to cross site scripting. It is possible to launch the attack remotely. Attacks of this nature are highly complex. The exploitability is assessed as difficult. The exploit has been disclosed publicly and may be used. Not independently exploitable: a defense-in-depth absence that amplifies CVE-2026-100880. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS