CVE-2026-88619
NieznaneStreszczenie
1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność braku autoryzacji w module zarządzania zadaniami zaplanowanymi. AdminSmartJobController udostępnia punkty końcowe zarządzania zadaniami zaplanowanymi bez kontroli uprawnień na poziomie metody, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do funkcji przeznaczonych dla uprawnionych administratorów.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może uzyskać dostęp do funkcji administracyjnych zarządzania zadaniami zaplanowanymi, co może prowadzić do nieautoryzowanych zmian w harmonogramie zadań lub wykonania złośliwych zadań. Stanowi to naruszenie zasady najmniejszych uprawnień.
Rekomendacja
Zaktualizuj SmartAdmin do wersji, która naprawia tę podatność, lub dodaj kontrole uprawnień na poziomie metody w AdminSmartJobController. Przeprowadź audyt innych kontrolerów pod kątem podobnych braków autoryzacji.
Inne podatności w SmartAdmin
Zobacz wszystkie- CVE-2026-88620Nieznane
SmartAdmin API Java17 SpringBoot3 w wersji 3.30.0 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym /employee/queryAll. Punkt końcowy nie egzekwuje wymaganych uprawnień na poziomie funkcji ani autoryzacji zakresu danych, co pozwala uwierzytelnionemu pracownikowi o niskich uprawnieniach na pobranie rekordów pracowników należących do innych działów i użytkowników.
- CVE-2026-88618Nieznane
1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność typu stored cross-site scripting w funkcji przesyłania plików. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-88617Nieznane
SmartAdmin w wersji 3.30.0 zawiera błąd autoryzacji w punkcie końcowym zapytań konfiguracyjnych. Pozwala to zdalnemu atakującemu na eskalację uprawnień.
Oryginalny opis (angielski, źródło NVD)
1024-lab SmartAdmin v3.30.0 contains a missing authorization vulnerability in the scheduled-job management module. The AdminSmartJobController exposes scheduled-job management endpoints without method-level permission checks, allowing a low-privileged authenticated user to access functionality intended for authorized administrators.