CVE-2025-63690
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
W pig-mesh Pig w wersjach 3.8.2 i starszych, podczas konfiguracji zadań zaplanowanych w module Quartz, możliwe jest wykonanie dowolnej klasy Java z konstruktorem bezparametrowym i jej metod z parametrem typu String poprzez refleksję. Wykorzystując metodę eval w klasie jakarta.el.ELProcessor wbudowanej w Tomcat, można wykonać polecenia, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny kod w kontekście aplikacji, przejmując kontrolę nad serwerem i uzyskując dostęp do danych.
Rekomendacja
Zaktualizuj pig-mesh Pig do wersji nowszej niż 3.8.2, która naprawia podatność. Ogranicz uprawnienia do konfiguracji zadań zaplanowanych do niezbędnego minimum.
Inne podatności w pig-mesh Pig
Zobacz wszystkie- CVE-2026-115997Średnie
W bibliotece pig-mesh pig do wersji 4.1.0 wykryto podatność typu SQL injection w funkcji orderItem.getColumn w pliku SqlFilterArgumentResolver.java. Manipulacja argumentami ascs/descs pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-15512Średnie
W pig-mesh Pig do wersji 3.9.2 wykryto podatność na wstrzykiwanie kodu w komponencie pig-codegen. Problem dotyczy nieokreślonej funkcjonalności pliku GeneratorServiceImpl.java. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
In pig-mesh Pig versions 3.8.2 and below, when setting up scheduled tasks in the Quartz management function under the system management module, it is possible to execute any Java class with a parameterless constructor and its methods with parameter type String through reflection. At this time, the eval method in Tomcat's built-in class jakarta.el.ELProcessor can be used to execute commands, leading to a remote code execution vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS