CVE-2026-107779
KrytyczneCVSS 9.8Streszczenie
Dromara Skyeye do commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 zawiera podatność na brak uwierzytelnienia w punktach końcowych JobInfoController w dołączonym xxl-job-admin, oznaczonych adnotacją @PermissionLimit(limit = false). Nieuwierzytelnieni atakujący mogą wysyłać zadania GLUE_SHELL, GLUE_PYTHON lub GLUE_POWERSHELL z dostarczonym glueSource do /jobinfo/addAndStart, wykonując polecenia na hoście wykonawcy lub zatrzymując i usuwając zadania.
Ocena ryzyka
Atakujący bez uwierzytelnienia może wykonywać dowolne polecenia na hostach wykonawców, co może prowadzić do przejęcia kontroli nad środowiskiem i zakłócenia działania usług.
Rekomendacja
Zaktualizuj Dromara Skyeye do wersji po commicie 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 oraz skonfiguruj uwierzytelnianie dla xxl-job-admin.
Inne podatności w Dromara Skyeye
Zobacz wszystkie- CVE-2026-107781Wysokie
Dromara Skyeye do commita 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 zawiera podatność server-side request forgery (SSRF) oraz brak autoryzacji w funkcji OnlyOffice save callback editUploadOfficeFileById. Nieuwierzytelnieni atakujący mogą dostarczyć dowolne parametry url i key, aby zmusić serwer do pobrania wewnętrznych adresów URL i nadpisania plików przechowywanych przez dowolnego użytkownika, a następnie odczytać wyniki poprzez queryFileToShowById.
- CVE-2026-107780Krytyczne
Dromara Skyeye do commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w nieuwierzytelnionym punkcie końcowym /post/TtsController/textToSpeech przez parametr format. Atakujący może wstrzyknąć pojedynczy cudzysłów do format, aby wyrwać się z ciągu PowerShell i wykonać polecenia jako konto usługi Skyeye w systemie Windows.
Oryginalny opis (angielski, źródło NVD)
Dromara Skyeye through commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 contains a missing authentication vulnerability in bundled xxl-job-admin JobInfoController endpoints annotated with @PermissionLimit(limit = false). Unauthenticated attackers can POST GLUE_SHELL, GLUE_PYTHON, or GLUE_POWERSHELL jobs with attacker-supplied glueSource to /jobinfo/addAndStart, executing commands on the executor host or stopping and deleting jobs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS