CVE-2026-26218
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w projekcie newbee-mall polega na tym, że skrypt inicjalizacyjny bazy danych zawiera predefiniowane konta administratorów z domyślnym, łatwym do odgadnięcia hasłem. Jeśli wdrożenie używa tego skryptu i nie zmieni domyślnych danych logowania, nieuwierzytelniony atakujący może zalogować się jako administrator i przejąć pełną kontrolę nad aplikacją.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości całkowitego przejęcia kontroli nad aplikacją przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, modyfikacji treści lub dalszych ataków na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową zmianę domyślnego hasła dla wszystkich kont administratorów w newbee-mall oraz usunięcie lub modyfikację skryptu inicjalizacyjnego bazy danych, aby nie zawierał predefiniowanych kont z domyślnymi hasłami.
Inne podatności w newbee-mall
Zobacz wszystkie- CVE-2026-26219Krytyczne
Podatność w newbee-mall polega na przechowywaniu haseł użytkowników za pomocą niesolonego algorytmu MD5. Brak per-użytkowniczych soli i kontroli kosztów obliczeniowych umożliwia atakującym szybkie odzyskanie haseł w postaci jawnej po uzyskaniu skrótów z bazy danych lub kopii zapasowych.
- CVE-2026-105573Średnie
W newbee-ltd newbee-mall do wersji 2.7.5 wykryto podatność w pliku /jshERP-boot/accountHead/updateAccountHeadAndDetail, w komponencie obsługi ilości w koszyku. Manipulacja argumentem goodsCount prowadzi do błędów logiki biznesowej. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-94045Niskie
W aplikacji newbee-mall (do wersji 1.0.0) wykryto podatność typu cross-site scripting (XSS) w pliku controller/common/UploadController.java, w komponencie odpowiedzialnym za zapis towarów. Manipulacja argumentem goodsName pozwala na zdalne wstrzyknięcie złośliwego kodu. Exploit został publicznie ujawniony i może być wykorzystany do ataków.
Oryginalny opis (angielski, źródło NVD)
newbee-mall includes pre-seeded administrator accounts in its database initialization script. These accounts are provisioned with a predictable default password. Deployments that initialize or reset the database using the provided schema and fail to change the default administrative credentials may allow unauthenticated attackers to log in as an administrator and gain full administrative control of the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS