CVE-2026-96551
ŚrednieCVSS 4.3Streszczenie
W projekcie sfturing hosp_order wykryto podatność w nieznanej funkcji pliku ssm_pro/src/main/java/cn/sfturing/web/CommonUserController.java. Manipulacja prowadzi do podatności cross-site request forgery, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wymusić na uwierzytelnionym użytkowniku wykonanie niepożądanych akcji. Publiczne ujawnienie exploita zwiększa ryzyko wykorzystania.
Rekomendacja
Zastosuj ochronę przed CSRF (tokeny, weryfikacja nagłówków) w dotkniętym kontrolerze. Ponieważ projekt nie używa wersjonowania, skontaktuj się z opiekunem projektu w celu uzyskania poprawki.
Inne podatności w sfturing hosp_order
Zobacz wszystkie- CVE-2026-96548Średnie
W sfturing hosp_order do wersji 627f426331da8086ce8fff2017d65b1ddef384f8 występuje luka w nieznanej części pliku ssm_pro/src/main/resources/jdbc.properties, polegająca na zaszytych na stałe poświadczeniach. Atak można zainicjować zdalnie, a złożoność ataku ocenia się jako wysoką; wskazano, że wykorzystanie jest trudne. Exploit został opublikowany i może być użyty. Produkt korzysta z wydań rolling release, więc brak szczegółów wersji dla wersji podatnych i poprawionych. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-95396Średnie
W aplikacji sfturing hosp_order do wersji 627f426331da8086ce8fff2017d65b1ddef384f8 wykryto podatność XSS w funkcji Public Search Handlers, w pliku HospitalController.java. Manipulacja argumentem Search prowadzi do ataku XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-86260Średnie
W projekcie sfturing hosp_order (do wersji 627f426331da8086ce8fff2017d65b1ddef384f8) wykryto podatność w funkcji modifyPassWord w pliku ssm_pro/src/main/java/cn/sfturing/web/CommonUserController.java (komponent Password Recovery). Manipulacja prowadzi do niezweryfikowanej zmiany hasła. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in sfturing hosp_order up to 627f426331da8086ce8fff2017d65b1ddef384f8. Impacted is an unknown function of the file ssm_pro/src/main/java/cn/sfturing/web/CommonUserController.java. Executing a manipulation can lead to cross-site request forgery. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.