CVE-2026-7677
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W kerwincui FastBee do wersji 1.2.1 wykryto podatność w funkcji Add w pliku SysNoticeController.java komponentu System Notice Handler. Manipulacja argumentem noticeContent prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Podatność XSS może pozwolić na wykonanie skryptu w przeglądarce użytkownika, co może prowadzić do przejęcia sesji lub kradzieży danych. Brak odpowiedzi producenta oznacza, że poprawka może nie być dostępna.
Rekomendacja
Należy wdrożyć walidację i kodowanie danych wejściowych w aplikacji oraz rozważyć ograniczenie dostępu do funkcji ogłoszeń. Zaleca się monitorowanie stanu poprawek u producenta.
Inne podatności w FastBee
Zobacz wszystkie- CVE-2026-120274Średnie
Wykryto podatność w beecue FastBee do wersji 2.1.0. Nieznana funkcjonalność pliku /iot/script w komponencie Groovy Script Executor pozwala na wstrzyknięcie kodu. Atak można przeprowadzić zdalnie, a poprawka jest dostępna pod identyfikatorem 890a33846005a937a58cccd738b7fb9821b82ea9.
- CVE-2026-111654Średnie
FastBee do wersji 2.1.0 zawiera podatność typu insecure direct object reference (IDOR), która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na dostęp do grup urządzeń innych użytkowników, ponieważ zapytania GroupController nie zawierają kontroli właściciela. Atakujący, w tym samodzielnie zarejestrowani użytkownicy, mogą podawać sekwencyjne identyfikatory grup, aby odczytywać, nadpisywać, przypisywać ponownie, przepisywać powiązania urządzeń lub usuwać grupy innych użytkowników.
- CVE-2026-110124Wysokie
FastBee do wersji 2.1.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w DeviceController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt i modyfikację urządzeń innych dzierżawców poprzez podanie sekwencyjnych identyfikatorów urządzeń.
- CVE-2026-7676Średnie
W kerwincui FastBee do wersji 1.2.1 funkcja ToolController.download w pliku ToolController.java komponentu Tool Download Endpoint, przy manipulacji argumentem fileName, prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in kerwincui FastBee up to 1.2.1. The impacted element is the function Add of the file springboot/fastbee-admin/src/main/java/com/fastbee/web/controller/system/SysNoticeController.java of the component System Notice Handler. This manipulation of the argument noticeContent causes cross site scripting. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS