CVE-2026-90524
WysokieCVSS 7.3Streszczenie
W jaychouchannel Tourism-Management-System wykryto brak uwierzytelniania w komponencie Update Endpoint. Manipulacja nieznaną funkcją pozwala na zdalne przeprowadzenie ataku bez uwierzytelnienia. Exploit został publicznie ujawniony, a poprawka jest dostępna.
Ocena ryzyka
Atakujący może zdalnie modyfikować dane bez logowania, co prowadzi do naruszenia integralności systemu. Brak uwierzytelnienia zwiększa ryzyko nieautoryzowanych zmian.
Rekomendacja
Należy natychmiast zainstalować poprawkę o nazwie 84d8ec384f669df3985293dab293bb7b477efa64. Zaleca się również wdrożenie uwierzytelniania dla endpointu Update.
Inne podatności w Tourism-Management-System
Zobacz wszystkie- CVE-2026-90523Wysokie
W jaychouchannel Tourism-Management-System wykryto podatność w komponencie User Register Endpoint w pliku UsersController.java. Manipulacja argumentem UsersEntity prowadzi do niewłaściwego zarządzania uprawnieniami, umożliwiając zdalny atak. Exploit jest publicznie dostępny, a poprawka istnieje.
- CVE-2026-90522Wysokie
W jaychouchannel Tourism-Management-System wykryto podatność w funkcji resetPass w pliku UsersController.java w komponencie Password Recovery. Manipulacja prowadzi do słabego mechanizmu odzyskiwania hasła, umożliwiając zdalny atak. Exploit został publicznie ujawniony, a poprawka jest dostępna.
- CVE-2026-90521Średnie
W systemie jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność polegającą na manipulacji argumentem ID w pliku MenpiaodingdanController.java w komponencie CRUD, co prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Poprawka została zidentyfikowana jako d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86.
- CVE-2026-90520Średnie
W systemie Tourism-Management-System (autorstwa jaychouchannel) wykryto podatność w pliku AuthorizationInterceptor.java komponentu Authorization Interceptor. Manipulacja danymi prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-86284Średnie
W jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność w funkcji getOption w pliku travel/src/main/java/com/controller/CommonController.java. Manipulacja argumentami tableName/columnName prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Poprawka jest dostępna.
- CVE-2026-86282Wysokie
W systemie jaychouchannel Tourism-Management-System do wersji 8122bf020d91199eddfff3ee02d1632a70a9a132 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku travel/src/main/java/com/controller/CommonController.java, komponent CommonDao. Manipulacja argumentami table/column/xColumn/yColumn prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Produkt nie używa wersjonowania, ale dostępna jest poprawka d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in jaychouchannel Tourism-Management-System up to 229956e20dbd4a80eeff14535e44d3099502af09. The impacted element is an unknown function of the component Update Endpoint. Performing a manipulation results in missing authentication. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The patch is named 84d8ec384f669df3985293dab293bb7b477efa64. It is suggested to install a patch to address this issue.