CVE-2026-94426
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W xxl-job do wersji 3.5.0 wykryto podatność w nieznanej funkcji pliku /jobgroup/insert. Manipulacja argumentem Name prowadzi do cross-site scripting. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary, potencjalnie prowadząc do kradzieży sesji lub danych. Publiczne ujawnienie exploitu zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Ogranicz dostęp do interfejsu xxl-job do zaufanych sieci i rozważ wdrożenie walidacji danych wejściowych na poziomie reverse proxy. Monitoruj dostępność poprawek od producenta.
Inne podatności w xxl-job
Zobacz wszystkie- CVE-2026-94145Niskie
Znaleziono podatność w xuxueli xxl-job do wersji 3.4.2/3.5.0. Podatność dotyczy nieznanego kodu w pliku JobInfoController.java w komponencie Task Management Interface. Manipulacja argumentem name/author prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-90489Niskie
Zidentyfikowano podatność w Xuxueli xxl-job do wersji 3.5.0. Nieznany kod w pliku /jobinfo/insert nieprawidłowo przetwarza argumenty name/author, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90488Średnie
Wykryto podatność w Xuxueli xxl-job do wersji 3.4.2. Funkcja GroovyClassLoader.parseClass w pliku GlueFactory.java nieprawidłowo przetwarza dane, co prowadzi do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90487Średnie
W Xuxueli xxl-job do wersji 3.4.2 wykryto podatność w nieznanej funkcjonalności pliku xxl-job-admin/src/main/java/com/xxl/job/admin/business/controller/JobGroupController.java. Manipulacja prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być wykorzystany. Producent został wcześnie powiadomiony, ale nie odpowiedział.
- CVE-2026-52371Średnie
xxl-job w wersji 3.4.0 zawiera podatność SSRF w komponencie xxl-job-admin/jobinfo/trigger. Uwierzytelnieni atakujący mogą skanować zasoby poprzez spreparowane żądanie HTTP.
- CVE-2026-65316Średnie
XXL-Job w wersji 2.4.2 ma podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Uwierzytelnieni użytkownicy mogą odczytywać logi wykonania zadań z grup, do których nie mają dostępu, podając sekwencyjne identyfikatory logów do endpointu logDetailCat.
- CVE-2023-33779Wysokie
W XXL-Job v2.4.1 wykryto podatność na eskalację uprawnień w poziomie, która umożliwia użytkownikowi wykonanie dowolnych poleceń na koncie innego użytkownika poprzez spreparowane żądanie POST do komponentu /jobinfo/.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in xuxueli xxl-job up to 3.5.0. The impacted element is an unknown function of the file /jobgroup/insert. This manipulation of the argument Name causes cross site scripting. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS