CVE-2026-120201
KrytyczneCVSS 9.8Streszczenie
Jpom w wersjach od 2.10.0 do 2.11.12 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać uprawnienia superadministratora poprzez wstrzyknięcie warunku zapytania do nagłówka JPOM-USER-TOKEN. Atakujący może wysłać wartość taką jak 'is not null', którą parser Condition biblioteki Hutool interpretuje jako operator, a następnie wykonać polecenia za pomocą funkcji skryptowych Jpom.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę administracyjną nad Jpom i wykonywać dowolne polecenia na zarządzanych hostach. Stanowi to poważne ryzyko dla środowisk CI/CD i zarządzania serwerami.
Rekomendacja
Zaktualizuj Jpom do wersji nowszej niż 2.11.12, która naprawia obejście uwierzytelniania. Do czasu aktualizacji ogranicz dostęp do interfejsu Jpom i monitoruj nietypowe nagłówki JPOM-USER-TOKEN.
Inne podatności w Jpom
Zobacz wszystkie- CVE-2026-111605Wysokie
Jpom do wersji 2.11.12 zawiera lukę obejścia autoryzacji w SshFileController, która pozwala uwierzytelnionym użytkownikom obszaru roboczego uzyskać dostęp do hostów SSH należących do innych obszarów roboczych, podając identyfikatory obcych zasobów SSH. Atakujący z uprawnieniami do plików SSH w dowolnym obszarze roboczym może wywoływać endpointy download, upload, read_file_data.json, update_file_data.json, delete.json, rename.json i new_file_folder.json, aby czytać, modyfikować i usuwać pliki na hostach SSH innych obszarów roboczych.
- CVE-2026-91993Średnie
Jpom w wersjach do 2.11.12 nie weryfikuje własności przestrzeni roboczej przy rozwiązywaniu repositoryId w punkcie końcowym /build/branch-list. Uwierzytelniony użytkownik może uzyskać dostęp do repozytoriów z innych przestrzeni roboczych, w tym wyszukiwać repozytoria, ustalać ich typ oraz wykonywać polecenia git ls-remote z użyciem poświadczeń innych przestrzeni roboczych.
Oryginalny opis (angielski, źródło NVD)
Jpom 2.10.0 through 2.11.12 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain super-administrator access by injecting query conditions into the JPOM-USER-TOKEN header. Attackers can send a value like 'is not null', which Hutool's Condition parser treats as an operator, then execute commands through Jpom's script features.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS