CVE-2025-60269
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
JEEWMS 20250820 jest podatne na SQL Injection w funkcji exportXls w pliku src/main/java/org/jeecgframework/web/cgreport/controller/excel/CgExportExcelController.java. Atakujący może wstrzykiwać dowolne zapytania SQL.
Ocena ryzyka
Możliwy jest nieautoryzowany dostęp do danych magazynowych i systemowych, ich modyfikacja lub ujawnienie.
Rekomendacja
Zastosuj parametryzację zapytań w funkcji exportXls i zaktualizuj JEEWMS do wersji z poprawką.
Inne podatności w JEEWMS
Zobacz wszystkie- CVE-2021-48015Wysokie
JeeWMS przed commitem 0a610e8 zawiera nieuwierzytelnioną podatność path traversal, która pozwala zdalnym atakującym odczytać dowolne pliki poprzez parametr dbPath. Atakujący mogą wysyłać żądania GET do /systemController/showOrDownByurl.do z sekwencjami ../ w dbPath, co omija AuthInterceptor, aby pobrać pliki takie jak win.ini.
- CVE-2026-108782Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji CommonServiceImpl.getAutoList komponentu Autocomplete Handler. Manipulacja argumentami trem/searchField/entityName prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108781Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmToMoveGoodsController.list komponentu PDA Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108779Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmSttInGoodsController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108778Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmInQmIController.list komponentu Inbound Quality Check Pda Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108777Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvGiController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108775Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvNoticeController.list komponentu Search Endpoint. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108774Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji getbinall/getbinallagv. Manipulacja argumentami binstore/binid/des/cengshu prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108773Średnie
W systemie erzhongxmu JEEWMS do wersji 2026.09.27-W39 wykryto podatność na iniekcję SQL w funkcji docheck pliku WmOmNoticeHController.java. Manipulacja argumentem goodscode umożliwia zdalne wykonanie ataku. Exploit jest publiczny.
- CVE-2026-108684Średnie
W erzhongxmu Jeewms do wersji 3.7 wykryto lukę w funkcji getTreeData w pliku src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java komponentu Autocomplete Data Handler. Manipulacja argumentem searchVal prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0.
Oryginalny opis (angielski, źródło NVD)
JEEWMS 20250820 is vulnerable to SQL Injection in the exportXls function located in the src/main/java/org/jeecgframework/web/cgreport/controller/excel/CgExportExcelController.java file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS