CVE-2026-90520
ŚrednieCVSS 6.3Streszczenie
W systemie Tourism-Management-System (autorstwa jaychouchannel) wykryto podatność w pliku AuthorizationInterceptor.java komponentu Authorization Interceptor. Manipulacja danymi prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Nieprawidłowa autoryzacja może pozwolić nieuprawnionym użytkownikom na dostęp do chronionych funkcji lub danych. Ponieważ exploit jest publicznie dostępny, ryzyko realnego ataku jest wysokie.
Rekomendacja
Należy jak najszybciej zastosować poprawkę o identyfikatorze d984d172dceca907f8b447efbdb06dc233f7938d. Ze względu na model rolling release warto zweryfikować aktualność wdrożonej wersji.
Inne podatności w Tourism-Management-System
Zobacz wszystkie- CVE-2026-90524Wysokie
W jaychouchannel Tourism-Management-System wykryto brak uwierzytelniania w komponencie Update Endpoint. Manipulacja nieznaną funkcją pozwala na zdalne przeprowadzenie ataku bez uwierzytelnienia. Exploit został publicznie ujawniony, a poprawka jest dostępna.
- CVE-2026-90523Wysokie
W jaychouchannel Tourism-Management-System wykryto podatność w komponencie User Register Endpoint w pliku UsersController.java. Manipulacja argumentem UsersEntity prowadzi do niewłaściwego zarządzania uprawnieniami, umożliwiając zdalny atak. Exploit jest publicznie dostępny, a poprawka istnieje.
- CVE-2026-90522Wysokie
W jaychouchannel Tourism-Management-System wykryto podatność w funkcji resetPass w pliku UsersController.java w komponencie Password Recovery. Manipulacja prowadzi do słabego mechanizmu odzyskiwania hasła, umożliwiając zdalny atak. Exploit został publicznie ujawniony, a poprawka jest dostępna.
- CVE-2026-90521Średnie
W systemie jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność polegającą na manipulacji argumentem ID w pliku MenpiaodingdanController.java w komponencie CRUD, co prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Poprawka została zidentyfikowana jako d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86.
- CVE-2026-86284Średnie
W jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność w funkcji getOption w pliku travel/src/main/java/com/controller/CommonController.java. Manipulacja argumentami tableName/columnName prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Poprawka jest dostępna.
- CVE-2026-86282Wysokie
W systemie jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku travel/src/main/java/com/controller/CommonController.java, komponent CommonDao. Manipulacja argumentami table/column/xColumn/yColumn prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Produkt nie używa wersjonowania, ale dostępna jest poprawka d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in jaychouchannel Tourism-Management-System up to 84d8ec384f669df3985293dab293bb7b477efa64. This vulnerability affects unknown code of the file AuthorizationInterceptor.java of the component Authorization Interceptor. The manipulation leads to improper authorization. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The identifier of the patch is d984d172dceca907f8b447efbdb06dc233f7938d. Applying a patch is the recommended action to fix this issue.