CVE-2026-108684
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W erzhongxmu Jeewms do wersji 3.7 wykryto lukę w funkcji getTreeData w pliku src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java komponentu Autocomplete Data Handler. Manipulacja argumentem searchVal prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Poprawka nosi nazwę 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0.
Ocena ryzyka
Zdalne wstrzyknięcie SQL może pozwolić atakującemu na odczyt, modyfikację lub usunięcie danych w bazie, co prowadzi do wycieku i utraty integralności danych.
Rekomendacja
Zastosuj poprawkę 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0 lub zaktualizuj Jeewms do wersji zawierającej tę poprawkę.
Inne podatności w Jeewms
Zobacz wszystkie- CVE-2021-48015Wysokie
JeeWMS przed commitem 0a610e8 zawiera nieuwierzytelnioną podatność path traversal, która pozwala zdalnym atakującym odczytać dowolne pliki poprzez parametr dbPath. Atakujący mogą wysyłać żądania GET do /systemController/showOrDownByurl.do z sekwencjami ../ w dbPath, co omija AuthInterceptor, aby pobrać pliki takie jak win.ini.
- CVE-2026-108782Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji CommonServiceImpl.getAutoList komponentu Autocomplete Handler. Manipulacja argumentami trem/searchField/entityName prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108781Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmToMoveGoodsController.list komponentu PDA Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108779Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmSttInGoodsController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108778Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WmInQmIController.list komponentu Inbound Quality Check Pda Interface. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108777Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvGiController.list. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108775Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji WvNoticeController.list komponentu Search Endpoint. Manipulacja argumentem searchstr prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108774Średnie
Podatność w JEEWMS do wersji 2026.09.27-W39 w funkcji getbinall/getbinallagv. Manipulacja argumentami binstore/binid/des/cengshu prowadzi do wstrzyknięcia SQL. Atak możliwy zdalnie, exploit publiczny.
- CVE-2026-108773Średnie
W systemie erzhongxmu JEEWMS do wersji 2026.09.27-W39 wykryto podatność na iniekcję SQL w funkcji docheck pliku WmOmNoticeHController.java. Manipulacja argumentem goodscode umożliwia zdalne wykonanie ataku. Exploit jest publiczny.
- CVE-2026-11458Średnie
W JeeWMS (do wersji 141740afb2ba14d441c82a833d0a418d07ca2d69) wykryto słabość w komponencie Boot Actuator Endpoint w pliku /base-boot/actuator. Manipulacja prowadzi do ujawnienia informacji. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in erzhongxmu Jeewms up to 3.7. This affects the function getTreeData of the file src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java of the component Autocomplete Data Handler. Performing a manipulation of the argument searchVal results in sql injection. The attack can be initiated remotely. The patch is named 6e29bd57972a499e9c8a81a2dbe94d0d5cf23af0. It is recommended to apply a patch to fix this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS