CVE-2026-90487
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Xuxueli xxl-job do wersji 3.4.2 wykryto podatność w nieznanej funkcjonalności pliku xxl-job-admin/src/main/java/com/xxl/job/admin/business/controller/JobGroupController.java. Manipulacja prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być wykorzystany. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Podatność może pozwolić zdalnemu atakującemu na eskalację uprawnień lub nieautoryzowany dostęp do funkcji administracyjnych, co stanowi poważne zagrożenie dla bezpieczeństwa systemu xxl-job.
Rekomendacja
Monitoruj oficjalne źródła xxl-job w celu uzyskania poprawki; do czasu jej wydania rozważ ograniczenie dostępu do interfejsu administracyjnego i wdrożenie dodatkowych kontroli uprawnień.
Inne podatności w xxl-job
Zobacz wszystkie- CVE-2026-94426Niskie
W xxl-job do wersji 3.5.0 wykryto podatność w nieznanej funkcji pliku /jobgroup/insert. Manipulacja argumentem Name prowadzi do cross-site scripting. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2026-94145Niskie
Znaleziono podatność w xuxueli xxl-job do wersji 3.4.2/3.5.0. Podatność dotyczy nieznanego kodu w pliku JobInfoController.java w komponencie Task Management Interface. Manipulacja argumentem name/author prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-90489Niskie
Zidentyfikowano podatność w Xuxueli xxl-job do wersji 3.5.0. Nieznany kod w pliku /jobinfo/insert nieprawidłowo przetwarza argumenty name/author, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90488Średnie
Wykryto podatność w Xuxueli xxl-job do wersji 3.4.2. Funkcja GroovyClassLoader.parseClass w pliku GlueFactory.java nieprawidłowo przetwarza dane, co prowadzi do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-52371Średnie
xxl-job w wersji 3.4.0 zawiera podatność SSRF w komponencie xxl-job-admin/jobinfo/trigger. Uwierzytelnieni atakujący mogą skanować zasoby poprzez spreparowane żądanie HTTP.
- CVE-2026-65316Średnie
XXL-Job w wersji 2.4.2 ma podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Uwierzytelnieni użytkownicy mogą odczytywać logi wykonania zadań z grup, do których nie mają dostępu, podając sekwencyjne identyfikatory logów do endpointu logDetailCat.
- CVE-2023-33779Wysokie
W XXL-Job v2.4.1 wykryto podatność na eskalację uprawnień w poziomie, która umożliwia użytkownikowi wykonanie dowolnych poleceń na koncie innego użytkownika poprzez spreparowane żądanie POST do komponentu /jobinfo/.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Xuxueli xxl-job up to 3.4.2. Affected by this issue is some unknown functionality of the file xxl-job-admin/src/main/java/com/xxl/job/admin/business/controller/JobGroupController.java. The manipulation results in improper privilege management. The attack may be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS