CVE-2026-8772
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W linlinjava litemall do wersji 1.8.0 wykryto podatność w nieznanej funkcji komponentu Admin Endpoint. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a wiele endpointów jest dotkniętych.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne zapytania SQL, co może prowadzić do ujawnienia, modyfikacji lub usunięcia danych. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Ogranicz dostęp do endpointów administracyjnych i wdróż walidację danych wejściowych oraz parametryzację zapytań. Monitoruj komunikaty producenta w oczekiwaniu na poprawkę.
Inne podatności w litemall
Zobacz wszystkie- CVE-2026-105237Niskie
W linlinjava litemall do wersji 1.8.0 wykryto lukę w nieznanej części pliku litemall-admin-api/src/main/java/org/linlinjava/litemall/admin/web/AdminAuthController.java w komponencie Login Endpoint. Manipulacja prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelniania. Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit jest publiczny i może być użyty; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-90570Niskie
W linlinjava litemall (wersje 1.4.0–1.8.0) wykryto podatność w funkcji AdminGoodsService.validate w pliku litemall-vue/src/views/items/detail/index.vue komponentu Product Detail. Manipulacja argumentem detail prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-90569Niskie
W linlinjava litemall (wersje 1.5.0–1.8.0) wykryto lukę w funkcji AdminTopicController.validate w pliku litemall-vue/src/views/items/topic/index.vue komponentu Admin Topic Handler. Manipulacja prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-8773Średnie
W linlinjava litemall do wersji 1.8.0 występuje podatność w funkcji backup/load pliku DbUtil.java w komponencie Database Setting Handler. Manipulacja argumentami db/password prowadzi do wstrzyknięcia argumentów, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in linlinjava litemall up to 1.8.0. Affected is an unknown function of the component Admin Endpoint. Executing a manipulation can lead to sql injection. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks. Multiple endpoints are affected. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS