CVE-2026-7306
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w Xuxueli xxl-job do wersji 3.3.2 dotyczy nieznanej funkcji w pliku OpenApiController.java (komponent OpenAPI Endpoint). Manipulacja argumentem default_token prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność.
Ocena ryzyka
Atakujący może wykorzystać zakodowany na stałe klucz do podszywania się pod autoryzowane żądania API, co może prowadzić do nieautoryzowanego dostępu do funkcji harmonogramu zadań.
Rekomendacja
Zaleca się zmianę domyślnego tokena na unikalny, silny klucz oraz aktualizację xxl-job do wersji 3.3.3 lub nowszej, która usuwa zakodowany na stałe klucz.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Xuxueli xxl-job up to 3.3.2. The impacted element is an unknown function of the file xxl-job-admin/src/main/java/com/xxl/job/admin/scheduler/openapi/OpenApiController.java of the component OpenAPI Endpoint. Such manipulation of the argument default_token leads to use of hard-coded cryptographic key . It is possible to launch the attack remotely. A high complexity level is associated with this attack. The exploitability is regarded as difficult. The exploit has been disclosed publicly and may be used.