CVE-2026-108778
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmInQmIController.list komponentu Inbound Quality Check Pda Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
Ocena ryzyka
Ryzyko zdalnego wstrzyknięcia SQL, co może umożliwić nieautoryzowany dostęp do danych lub ich uszkodzenie.
Rekomendacja
Zaktualizuj JEEWMS do najnowszej wersji lub zastosuj poprawki. Ogranicz dostęp do interfejsu PDA.
Inne podatności w JEEWMS
Zobacz wszystkie- CVE-2021-48015Wysokie
JeeWMS przed commitem 0a610e8 zawiera nieuwierzytelnioną podatność path traversal, która pozwala zdalnym atakującym odczytać dowolne pliki poprzez parametr dbPath. Atakujący mogą wysyłać żądania GET do /systemController/showOrDownByurl.do z sekwencjami ../ w dbPath, co omija AuthInterceptor, aby pobrać pliki takie jak win.ini.
- CVE-2026-108782Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji CommonServiceImpl.getAutoList komponentu Autocomplete Handler. Manipulacja argumentami trem/searchField/entityName prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108781Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmToMoveGoodsController.list komponentu PDA Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108779Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmSttInGoodsController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108777Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvGiController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108775Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvNoticeController.list komponentu Search Endpoint. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108774Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji getbinall/getbinallagv. Manipulacja argumentami binstore/binid/des/cengshu prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108773Średnie
W systemie erzhongxmu JEEWMS do wersji 2026.09.27-W39 wykryto podatność na iniekcję SQL w funkcji docheck pliku WmOmNoticeHController.java. Manipulacja argumentem goodscode umożliwia zdalne wykonanie ataku. Exploit jest publiczny.
- CVE-2026-108684Średnie
W erzhongxmu Jeewms do wersji 3.7 wykryto lukę w funkcji getTreeData w pliku src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java komponentu Autocomplete Data Handler. Manipulacja argumentem searchVal prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0.
- CVE-2026-11458Średnie
W JeeWMS (do wersji 141740afb2ba14d441c82a833d0a418d07ca2d69) wykryto słabość w komponencie Boot Actuator Endpoint w pliku /base-boot/actuator. Manipulacja prowadzi do ujawnienia informacji. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in erzhongxmu JEEWMS up to 2026.09.27-W39. This impacts the function WmInQmIController.list of the file src/main/java/com/zzjee/wm/controller/WmInQmIController.java of the component Inbound Quality Check Pda Interface. This manipulation of the argument searchstr causes sql injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS