CVE-2026-65316
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
XXL-Job w wersji 2.4.2 ma podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Uwierzytelnieni użytkownicy mogą odczytywać logi wykonania zadań z grup, do których nie mają dostępu, podając sekwencyjne identyfikatory logów do endpointu logDetailCat.
Ocena ryzyka
Atakujący może enumerować logi ze wszystkich grup zadań i uzyskać dostęp do poufnych informacji zawartych w logach, takich jak dane przetwarzane przez zadania.
Rekomendacja
Zaktualizuj XXL-Job do wersji, w której poprawiono sprawdzanie uprawnień w endpointcie logDetailCat.
Inne podatności w XXL-Job
Zobacz wszystkie- CVE-2026-106708Wysokie
XXL-JOB w wersji 3.5.0-SNAPSHOT i wcześniejszych zawiera podatność Cross-Site Request Forgery (CSRF) w kontrolerze zarządzania użytkownikami (JobUserController). Punkty końcowe /user/insert, /user/update i /user/delete nie mają ochrony CSRF i nie ograniczają metody HTTP.
- CVE-2026-106707Średnie
XXL-JOB w wersji do 3.5.0-SNAPSHOT zawiera podatność typu stored XSS na stronie listy logów zadań (/joblog). Uwierzytelniony użytkownik z uprawnieniami do grupy wykonawczej może wstrzyknąć dowolny JavaScript poprzez parametr executorParam w żądaniu POST /jobinfo/trigger.
- CVE-2026-106706Średnie
XXL-JOB w wersji do 3.5.0-SNAPSHOT jest podatny na stored XSS w edytorze kodu GLUE. Metoda JobCodeController.save() przechowuje parametr glueSource bez kodowania wyjściowego, a szablon FreeMarker job.code.ftl renderuje zapisaną wartość bez escapowania.
- CVE-2026-94426Niskie
W xxl-job do wersji 3.5.0 wykryto podatność w nieznanej funkcji pliku /jobgroup/insert. Manipulacja argumentem Name prowadzi do cross-site scripting. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2026-94145Niskie
Znaleziono podatność w xuxueli xxl-job do wersji 3.4.2/3.5.0. Podatność dotyczy nieznanego kodu w pliku JobInfoController.java w komponencie Task Management Interface. Manipulacja argumentem name/author prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-90489Niskie
Zidentyfikowano podatność w Xuxueli xxl-job do wersji 3.5.0. Nieznany kod w pliku /jobinfo/insert nieprawidłowo przetwarza argumenty name/author, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90488Średnie
Wykryto podatność w Xuxueli xxl-job do wersji 3.4.2. Funkcja GroovyClassLoader.parseClass w pliku GlueFactory.java nieprawidłowo przetwarza dane, co prowadzi do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90487Średnie
W Xuxueli xxl-job do wersji 3.4.2 wykryto podatność w nieznanej funkcjonalności pliku xxl-job-admin/src/main/java/com/xxl/job/admin/business/controller/JobGroupController.java. Manipulacja prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być wykorzystany. Producent został wcześnie powiadomiony, ale nie odpowiedział.
- CVE-2026-52371Średnie
xxl-job w wersji 3.4.0 zawiera podatność SSRF w komponencie xxl-job-admin/jobinfo/trigger. Uwierzytelnieni atakujący mogą skanować zasoby poprzez spreparowane żądanie HTTP.
- CVE-2023-33779Wysokie
W XXL-Job v2.4.1 wykryto podatność na eskalację uprawnień w poziomie, która umożliwia użytkownikowi wykonanie dowolnych poleceń na koncie innego użytkownika poprzez spreparowane żądanie POST do komponentu /jobinfo/.
Oryginalny opis (angielski, źródło NVD)
XXL-Job version 2.4.2 contains an insecure direct object reference vulnerability that allows authenticated users to read execution log content from job groups they are not authorized to access by supplying arbitrary sequential log IDs to the logDetailCat endpoint. Attackers can enumerate log records across all job groups by calling the logDetailCat endpoint with incremented logId parameter values, bypassing the permission check present in the sibling logDetailPage endpoint, and retrieve sensitive log content from restricted job groups.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS