CVE-2026-10771

WysokieCVSS 7.3

Opublikowano: 03/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji RestTemplate.getForEntity w pliku RestTemplateUtil.java w systemie crmeb_java 1.4. Atakujący może zdalnie manipulować argumentem URL w endpointcie base64 Qrcode, co prowadzi do nieautoryzowanych żądań serwerowych.

Ocena ryzyka

Ryzyko wykonania nieautoryzowanych żądań do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszej kompromitacji systemu.

Rekomendacja

Zaleca się aktualizację do nowszej wersji crmeb_java lub zastosowanie tymczasowych zabezpieczeń, takich jak walidacja URL-i w endpointcie.

Inne podatności w crmeb_java

CVE-2024-28714Wysokie
Podatność SQL Injection w systemie e-commerce CRMEB_Java w wersji 1.3.4 umożliwia atakującemu wykonanie dowolnego kodu poprzez parametr groupid.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in crmeb crmeb_java 1.4. Affected is the function RestTemplate.getForEntity of the file crmeb-common/src/main/java/com/zbkj/common/utils/RestTemplateUtil.java of the component base64 Qrcode Endpoint. The manipulation of the argument url results in server-side request forgery. The attack can be executed remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.