CVE-2026-90594

ŚrednieCVSS 6.3

Opublikowano: 13/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

W wxiaoqi Spring-Cloud-Platform 3.0.1/3.1.0 wykryto podatność w funkcji PermissionService.checkUserPermission w pliku /rpc/service/PermissionService.java komponentu Permission Service. Manipulacja prowadzi do braku autoryzacji. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

Ocena ryzyka

Brak autoryzacji pozwala nieuprawnionym użytkownikom na dostęp do funkcji wymagających uprawnień, co może prowadzić do eskalacji przywilejów i nieautoryzowanych operacji. Projekt nie odpowiedział na zgłoszenie, więc poprawka może nie być dostępna.

Rekomendacja

Należy natychmiast zweryfikować i ograniczyć dostęp do komponentu Permission Service, a jeśli to możliwe, zastosować obejście lub zaktualizować do wersji zawierającej poprawkę. Monitorować logi pod kątem nieautoryzowanych prób dostępu.

Inne podatności w Spring-Cloud-Platform

CVE-2026-90595Średnie
W wxiaoqi Spring-Cloud-Platform 1.0/2.2/3.0 odkryto lukę w funkcji OnlineController.getOnlineInfo pliku aceModules/ace-admin/auth/controller/OnlineController.java. Manipulacja prowadzi do braku autoryzacji. Atak może być wykonany zdalnie, a exploit został publicznie udostępniony i może być użyty.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in wxiaoqi Spring-Cloud-Platform 3.0.1/3.1.0. This vulnerability affects the function PermissionService.checkUserPermission of the file /rpc/service/PermissionService.java of the component Permission Service. The manipulation leads to missing authorization. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS