CVE-2026-90569
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W linlinjava litemall (wersje 1.5.0–1.8.0) wykryto lukę w funkcji AdminTopicController.validate w pliku litemall-vue/src/views/items/topic/index.vue komponentu Admin Topic Handler. Manipulacja prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Cross site scripting może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, kradzież sesji lub danych. Ryzyko dotyczy użytkowników panelu administracyjnego.
Rekomendacja
Należy wdrożyć walidację i kodowanie danych wejściowych w funkcji AdminTopicController.validate. Do czasu wydania poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w litemall
Zobacz wszystkie- CVE-2026-105237Niskie
W linlinjava litemall do wersji 1.8.0 wykryto lukę w nieznanej części pliku litemall-admin-api/src/main/java/org/linlinjava/litemall/admin/web/AdminAuthController.java w komponencie Login Endpoint. Manipulacja prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelniania. Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit jest publiczny i może być użyty; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-90570Niskie
W linlinjava litemall (wersje 1.4.0–1.8.0) wykryto podatność w funkcji AdminGoodsService.validate w pliku litemall-vue/src/views/items/detail/index.vue komponentu Product Detail. Manipulacja argumentem detail prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in linlinjava litemall 1.5.0/1.6.0/1.7.0/1.8.0. This vulnerability affects the function AdminTopicController.validate of the file litemall-vue/src/views/items/topic/index.vue of the component Admin Topic Handler. This manipulation causes cross site scripting. The attack may be initiated remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS