CVE-2026-8195
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
JeecgBoot do wersji 3.9.1 włącznie zawiera podatność na Cross-Site Scripting w komponencie obsługi plików SVG. Nieznana funkcja w pliku CommonController.java umożliwia zdalne wstrzyknięcie skryptów. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce ofiary, co może prowadzić do przejęcia sesji, kradzieży danych lub innych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację JeecgBoot do wersji powyżej 3.9.1 oraz zastosowanie odpowiednich poprawek bezpieczeństwa. Należy również ograniczyć dostęp do funkcji przesyłania plików SVG.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in JeecgBoot up to 3.9.1. The affected element is an unknown function of the file jeecg-module-system/jeecg-system-biz/src/main/java/org/jeecg/modules/system/controller/CommonController.java of the component SVG File Handler. The manipulation results in cross site scripting. The attack can be executed remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.