CVE-2026-26719

ŚrednieCVSS 6.1

Opublikowano: 15/07/2026(UTC)Zaktualizowano: 16/07/2026(UTC)Przetłumaczono: 17/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

W aplikacji xxl-job-admin w wersji 3.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS). Zdalny atakujący może wykorzystać spreparowane żądanie HTTP GET zawierające złośliwy skrypt do wykonania dowolnego kodu w kontekście przeglądarki ofiary.

Ocena ryzyka

Ryzyko polega na możliwości kradzieży sesji użytkownika, przejęcia konta administratora lub wykonania nieautoryzowanych operacji w panelu administracyjnym xxl-job. Może to prowadzić do naruszenia poufności i integralności danych oraz zakłócenia działania harmonogramu zadań.

Rekomendacja

Należy niezwłocznie zaktualizować xxl-job-admin do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność XSS. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego oraz walidację i sanityzację danych wejściowych w żądaniach HTTP GET.

Inne podatności w xxl-job-admin

CVE-2026-26718Krytyczne
W aplikacji internetowej xxl-job-admin w wersji 3.0.0 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF). Brak walidacji tokenów CSRF oraz akceptacja dowolnych metod HTTP w punkcie końcowym umożliwiają atakującemu nieautoryzowaną modyfikację skryptów powłoki Glue IDE.

Oryginalny opis (angielski, źródło NVD)

Cross Site Scripting vulnerability in xxl-job-admin v.3.0.0 allows a remote attacker to execute arbitrary code via a crafted HTTP GET request containing a malicious script