CVE-2026-86282
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W systemie jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku travel/src/main/java/com/controller/CommonController.java, komponent CommonDao. Manipulacja argumentami table/column/xColumn/yColumn prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Produkt nie używa wersjonowania, ale dostępna jest poprawka d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do danych systemu zarządzania turystyką, w tym odczytu, modyfikacji lub usunięcia danych.
Rekomendacja
Zastosuj dostępną poprawkę (d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86) oraz użyj mechanizmów zapobiegających wstrzyknięciom SQL, np. sparametryzowanych zapytań.
Inne podatności w Tourism-Management-System
Zobacz wszystkie- CVE-2026-90524Wysokie
W jaychouchannel Tourism-Management-System wykryto brak uwierzytelniania w komponencie Update Endpoint. Manipulacja nieznaną funkcją pozwala na zdalne przeprowadzenie ataku bez uwierzytelnienia. Exploit został publicznie ujawniony, a poprawka jest dostępna.
- CVE-2026-90523Wysokie
W jaychouchannel Tourism-Management-System wykryto podatność w komponencie User Register Endpoint w pliku UsersController.java. Manipulacja argumentem UsersEntity prowadzi do niewłaściwego zarządzania uprawnieniami, umożliwiając zdalny atak. Exploit jest publicznie dostępny, a poprawka istnieje.
- CVE-2026-90522Wysokie
W jaychouchannel Tourism-Management-System wykryto podatność w funkcji resetPass w pliku UsersController.java w komponencie Password Recovery. Manipulacja prowadzi do słabego mechanizmu odzyskiwania hasła, umożliwiając zdalny atak. Exploit został publicznie ujawniony, a poprawka jest dostępna.
- CVE-2026-90521Średnie
W systemie jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność polegającą na manipulacji argumentem ID w pliku MenpiaodingdanController.java w komponencie CRUD, co prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Poprawka została zidentyfikowana jako d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86.
- CVE-2026-90520Średnie
W systemie Tourism-Management-System (autorstwa jaychouchannel) wykryto podatność w pliku AuthorizationInterceptor.java komponentu Authorization Interceptor. Manipulacja danymi prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-86284Średnie
W jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność w funkcji getOption w pliku travel/src/main/java/com/controller/CommonController.java. Manipulacja argumentami tableName/columnName prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Poprawka jest dostępna.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in jaychouchannel Tourism-Management-System up to 8122bf020d91199eddfff3ee02d1632a70a9a132. Affected is an unknown function of the file travel/src/main/java/com/controller/CommonController.java of the component CommonDao. Executing a manipulation of the argument table/column/xColumn/yColumn can lead to sql injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. This patch is called d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86. A patch should be applied to remediate this issue.