CVE-2026-82630
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność w PowerJob do wersji 5.1.2. Dotyczy ona funkcji MuConnectionManager.getOrCreateConnection w pliku powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java komponentu Transport Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
Ocena ryzyka
SSRF może pozwolić atakującemu na dostęp do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaleca się monitorowanie poprawek od producenta i zastosowanie ich, gdy tylko będą dostępne, oraz ograniczenie dostępu do punktu końcowego TestController.
Inne podatności w PowerJob
Zobacz wszystkie- CVE-2026-75429Krytyczne
PowerJob w wersjach 4.x do 5.1.2 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu w punkcie końcowym /friend/process warstwy transportowej Server-Worker.
- CVE-2023-37754Krytyczne
W wersji 4.3.3 PowerJob odkryto podatność na zdalne wykonanie polecenia (RCE) poprzez parametr instanceId w ścieżce /instance/detail.
- CVE-2026-5739Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 stwierdzono podatność w funkcji GroovyEvaluator.evaluate pliku /openApi/addWorkflowNode komponentu OpenAPI Endpoint. Manipulacja argumentem nodeParams prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-5736Wysokie
W PowerJob 5.1.0/5.1.1/5.1.2 w pliku InstanceController.java endpoint detailPlus jest podatny na iniekcję SQL przez argument customQuery. Atak może być przeprowadzony zdalnie. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2025-14518Średnie
W PowerJob do wersji 5.1.2 zidentyfikowano podatność w funkcji checkConnectivity w pliku src/main/java/tech/powerjob/common/utils/net/PingPongUtils.java komponentu Network Request Handler. Manipulacja argumentami targetIp/targetPort prowadzi do podatności server-side request forgery (SSRF).
- CVE-2025-11581Średnie
W PowerJob do wersji 5.1.2 wykryto podatność w pliku /openApi/runJob komponentu OpenAPIController, polegającą na braku autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11580Średnie
PowerJob w wersjach do 5.1.2 zawiera podatność braku autoryzacji w funkcji list pliku /user/list. Manipulacja tą funkcją pozwala na nieautoryzowany dostęp do listy użytkowników. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2023-36106Wysokie
W podatności CVE-2023-36106 występuje nieprawidłowa kontrola dostępu w powerjob w wersji 4.3.2 i wcześniejszych, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez interfejs zapytań z użyciem parametru appId do /container/list.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in PowerJob up to 5.1.2. Impacted is the function MuConnectionManager.getOrCreateConnection of the file powerjob-server/powerjob-server-starter/src/main/java/tech/powerjob/server/web/controller/TestController.java of the component Transport Endpoint. The manipulation leads to server-side request forgery. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS