CVE-2026-94045
NiskieCVSS 3.5Streszczenie
W aplikacji newbee-mall (do wersji 1.0.0) wykryto podatność typu cross-site scripting (XSS) w pliku controller/common/UploadController.java, w komponencie odpowiedzialnym za zapis towarów. Manipulacja argumentem goodsName pozwala na zdalne wstrzyknięcie złośliwego kodu. Exploit został publicznie ujawniony i może być wykorzystany do ataków.
Ocena ryzyka
Podatność umożliwia zdalne przeprowadzenie ataku XSS, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub wykonania dowolnych działań w przeglądarce ofiary. Ze względu na publicznie dostępny exploit ryzyko jest wysokie.
Rekomendacja
Należy niezwłocznie zaktualizować newbee-mall do najnowszej wersji, jeśli poprawka jest dostępna, lub zastosować filtrowanie i walidację danych wejściowych (szczególnie parametru goodsName) oraz wdrożyć mechanizmy ochrony przed XSS. Do czasu wydania poprawki zaleca się ograniczenie dostępu do funkcji uploadu i monitorowanie nietypowych żądań.
Inne podatności w newbee-mall
Zobacz wszystkie- CVE-2026-26219Krytyczne
Podatność w newbee-mall polega na przechowywaniu haseł użytkowników za pomocą niesolonego algorytmu MD5. Brak per-użytkowniczych soli i kontroli kosztów obliczeniowych umożliwia atakującym szybkie odzyskanie haseł w postaci jawnej po uzyskaniu skrótów z bazy danych lub kopii zapasowych.
- CVE-2026-26218Krytyczne
Podatność w projekcie newbee-mall polega na tym, że skrypt inicjalizacyjny bazy danych zawiera predefiniowane konta administratorów z domyślnym, łatwym do odgadnięcia hasłem. Jeśli wdrożenie używa tego skryptu i nie zmieni domyślnych danych logowania, nieuwierzytelniony atakujący może zalogować się jako administrator i przejąć pełną kontrolę nad aplikacją.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in newbee-ltd newbee-mall up to 1.0.0. Impacted is an unknown function of the file controller/common/UploadController.java of the component Goods Save Endpoint. Performing a manipulation of the argument goodsName results in cross site scripting. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. ImageIO.read() is a format-agnostic read - it returns non-null for a polyglot PNG|<img onerror> payload, which is exactly why the "image-only" guard is bypassable; the attacker-controlled suffix + /upload/** static mapping is what turns the upload into persisted XSS rather than a one-shot. The project was informed of the problem early through an issue report but has not responded yet.