CVE-2026-5538
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
QingdaoU OnlineJudge do wersji 1.6.1 zawiera lukę Server-Side Request Forgery (SSRF) w funkcji service_url w pliku JudgeServer.service_url w punkcie końcowym judge_server_heartbeat. Manipulacja tym parametrem umożliwia atak SSRF.
Ocena ryzyka
Atakujący może wysyłać żądania do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia wrażliwych danych lub dalszej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację QingdaoU OnlineJudge do najnowszej dostępnej wersji lub zastosowanie odpowiednich poprawek zabezpieczających.
Powiązane podatności
- CVE-2026-93945Krytyczne
Podatność deserializacji niezaufanych danych w motywie Balance firmy Axiomthemes pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.12.0.
- CVE-2026-93944Krytyczne
Podatność deserializacji niezaufanych danych w motywie Camelia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.15.
- CVE-2026-93943Krytyczne
Podatność deserializacji niezaufanych danych w motywie Convex firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93942Krytyczne
Podatność deserializacji niezaufanych danych w motywie Dwell firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93941Krytyczne
Podatność deserializacji niezaufanych danych w motywie Edema firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.2.2.
- CVE-2026-93940Krytyczne
Podatność deserializacji niezaufanych danych w motywie Greeny firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 2.10.0.
- CVE-2026-93938Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hogwords firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.7.
- CVE-2026-93937Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hygia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.21.0.
- CVE-2026-93936Krytyczne
Podatność deserializacji niezaufanych danych w motywie IPharm firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.4.
- CVE-2026-93935Krytyczne
Podatność deserializacji niezaufanych danych w motywie Let's Play firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.1.15.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in QingdaoU OnlineJudge up to 1.6.1. Affected by this issue is the function service_url of the file JudgeServer.service_url of the component judge_server_heartbeat Endpoint. The manipulation results in server-side request forgery. It is possible to launch the attack remotely. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS