CVE-2026-82630
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność w PowerJob do wersji 5.1.2. Dotyczy ona funkcji MuConnectionManager.getOrCreateConnection w pliku powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java komponentu Transport Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
Ocena ryzyka
SSRF może pozwolić atakującemu na dostęp do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaleca się monitorowanie poprawek od producenta i zastosowanie ich, gdy tylko będą dostępne, oraz ograniczenie dostępu do punktu końcowego TestController.
Inne podatności w PowerJob
Zobacz wszystkie- CVE-2026-75429Nieznane
PowerJob w wersjach 4.x do 5.1.2 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu w punkcie końcowym /friend/process warstwy transportowej Server-Worker.
- CVE-2023-37754Krytyczne
W wersji 4.3.3 PowerJob odkryto podatność na zdalne wykonanie polecenia (RCE) poprzez parametr instanceId w ścieżce /instance/detail.
- CVE-2026-5739Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 stwierdzono podatność w funkcji GroovyEvaluator.evaluate pliku /openApi/addWorkflowNode komponentu OpenAPI Endpoint. Manipulacja argumentem nodeParams prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-5736Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 w pliku InstanceController.java endpoint detailPlus jest podatny na iniekcję SQL przez argument customQuery. Atak może być przeprowadzony zdalnie. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2023-36106Wysokie
W podatności CVE-2023-36106 występuje nieprawidłowa kontrola dostępu w powerjob w wersji 4.3.2 i wcześniejszych, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez interfejs zapytań z użyciem parametru appId do /container/list.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in PowerJob up to 5.1.2. Impacted is the function MuConnectionManager.getOrCreateConnection of the file powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java of the component Transport Endpoint. The manipulation leads to server-side request forgery. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.