CVE-2026-108684
ŚrednieCVSS 6.3Streszczenie
W erzhongxmu Jeewms do wersji 3.7 wykryto lukę w funkcji getTreeData w pliku src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java komponentu Autocomplete Data Handler. Manipulacja argumentem searchVal prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0.
Ocena ryzyka
Zdalne wstrzyknięcie SQL może pozwolić atakującemu na odczyt, modyfikację lub usunięcie danych w bazie, co prowadzi do wycieku i utraty integralności danych.
Rekomendacja
Zastosuj poprawkę 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0 lub zaktualizuj Jeewms do wersji zawierającej tę poprawkę.
Inne podatności w Jeewms
Zobacz wszystkie- CVE-2026-11458Średnie
W JeeWMS (do wersji 141740afb2ba14d441c82a833d0a418d07ca2d69) wykryto słabość w komponencie Boot Actuator Endpoint w pliku /base-boot/actuator. Manipulacja prowadzi do ujawnienia informacji. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-11457Wysokie
Podatność wstrzykiwania w JeeWMS (wersja do 141740afb2ba14d441c82a833d0a418d07ca2d69) w pliku /base-boot/jmreport/testConnection, w argumencie dbType/dbDriver/dbUrl/dbUsername/dbPassword. Atak zdalny, exploit publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in erzhongxmu Jeewms up to 3.7. This affects the function getTreeData of the file src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java of the component Autocomplete Data Handler. Performing a manipulation of the argument searchVal results in sql injection. The attack can be initiated remotely. The patch is named 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0. It is recommended to apply a patch to fix this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS