CVE-2026-11458
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W JeeWMS (do wersji 141740afb2ba14d441c82a833d0a418d07ca2d69) wykryto słabość w komponencie Boot Actuator Endpoint w pliku /base-boot/actuator. Manipulacja prowadzi do ujawnienia informacji. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie uzyskać wrażliwe informacje o systemie, co może ułatwić dalsze ataki i naruszyć poufność danych.
Rekomendacja
Zaleca się natychmiastowe wyłączenie lub zabezpieczenie endpointu Actuator, a także monitorowanie dostępności aktualizacji od producenta.
Inne podatności w JeeWMS
Zobacz wszystkie- CVE-2021-48015Wysokie
JeeWMS przed commitem 0a610e8 zawiera nieuwierzytelnioną podatność path traversal, która pozwala zdalnym atakującym odczytać dowolne pliki poprzez parametr dbPath. Atakujący mogą wysyłać żądania GET do /systemController/showOrDownByurl.do z sekwencjami ../ w dbPath, co omija AuthInterceptor, aby pobrać pliki takie jak win.ini.
- CVE-2026-108782Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji CommonServiceImpl.getAutoList komponentu Autocomplete Handler. Manipulacja argumentami trem/searchField/entityName prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108781Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmToMoveGoodsController.list komponentu PDA Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108779Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmSttInGoodsController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108778Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmInQmIController.list komponentu Inbound Quality Check Pda Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108777Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvGiController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108775Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvNoticeController.list komponentu Search Endpoint. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108774Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji getbinall/getbinallagv. Manipulacja argumentami binstore/binid/des/cengshu prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108773Średnie
W systemie erzhongxmu JEEWMS do wersji 2026.09.27-W39 wykryto podatność na iniekcję SQL w funkcji docheck pliku WmOmNoticeHController.java. Manipulacja argumentem goodscode umożliwia zdalne wykonanie ataku. Exploit jest publiczny.
- CVE-2026-108684Średnie
W erzhongxmu Jeewms do wersji 3.7 wykryto lukę w funkcji getTreeData w pliku src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java komponentu Autocomplete Data Handler. Manipulacja argumentem searchVal prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in erzhongxmu JeeWMS up to 141740afb2ba14d441c82a833d0a418d07ca2d69. This issue affects some unknown processing of the file /base-boot/actuator of the component Boot Actuator Endpoint. Executing a manipulation can lead to information disclosure. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS