CVE-2026-90570
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W linlinjava litemall (wersje 1.4.0–1.8.0) wykryto podatność w funkcji AdminGoodsService.validate w pliku litemall-vue/src/views/items/detail/index.vue komponentu Product Detail. Manipulacja argumentem detail prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Cross site scripting może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, kradzież sesji lub danych. Ryzyko dotyczy użytkowników panelu administracyjnego.
Rekomendacja
Należy wdrożyć walidację i kodowanie danych wejściowych dla argumentu detail. Do czasu wydania poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w litemall
Zobacz wszystkie- CVE-2026-105237Niskie
W linlinjava litemall do wersji 1.8.0 wykryto lukę w nieznanej części pliku litemall-admin-api/src/main/java/org/linlinjava/litemall/admin/web/AdminAuthController.java w komponencie Login Endpoint. Manipulacja prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelniania. Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit jest publiczny i może być użyty; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-90569Niskie
W linlinjava litemall (wersje 1.5.0–1.8.0) wykryto lukę w funkcji AdminTopicController.validate w pliku litemall-vue/src/views/items/topic/index.vue komponentu Admin Topic Handler. Manipulacja prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in linlinjava litemall 1.4.0/1.5.0/1.6.0/1.7.0/1.8.0. This issue affects the function AdminGoodsService.validate of the file litemall-vue/src/views/items/detail/index.vue of the component Product Detail. Such manipulation of the argument detail leads to cross site scripting. The attack may be launched remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS