CVE-2026-26718
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W aplikacji internetowej xxl-job-admin w wersji 3.0.0 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF). Brak walidacji tokenów CSRF oraz akceptacja dowolnych metod HTTP w punkcie końcowym umożliwiają atakującemu nieautoryzowaną modyfikację skryptów powłoki Glue IDE.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania nieautoryzowanych zmian w skryptach powłoki, co może prowadzić do uruchomienia złośliwego kodu, eskalacji uprawnień lub naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować xxl-job-admin do najnowszej wersji, wdrożyć mechanizm tokenów CSRF dla wszystkich wrażliwych punktów końcowych oraz ograniczyć akceptowane metody HTTP do niezbędnego minimum.
Oryginalny opis (angielski, źródło NVD)
A Cross-Site Request Forgery (CSRF) vulnerability exists in the xxl-job-admin web application v.3.0.0 that allows an attacker to perform unauthorized modifications to Glue IDE shell scripts. The affected endpoint lacks proper CSRF token validation and accepts arbitrary HTTP methods via a permissive request mapping