CVE-2026-8773
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W linlinjava litemall do wersji 1.8.0 występuje podatność w funkcji backup/load pliku DbUtil.java w komponencie Database Setting Handler. Manipulacja argumentami db/password prowadzi do wstrzyknięcia argumentów, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać wstrzyknięcie argumentów do wykonania nieautoryzowanych operacji na bazie danych lub systemie. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Ogranicz dostęp do funkcji backup/load oraz interfejsu administracyjnego do zaufanych sieci. Rozważ wdrożenie poprawek lub obejść ze względu na brak reakcji producenta.
Inne podatności w litemall
Zobacz wszystkie- CVE-2026-105237Niskie
W linlinjava litemall do wersji 1.8.0 wykryto lukę w nieznanej części pliku litemall-admin-api/src/main/java/org/linlinjava/litemall/admin/web/AdminAuthController.java w komponencie Login Endpoint. Manipulacja prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelniania. Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit jest publiczny i może być użyty; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-90570Niskie
W linlinjava litemall (wersje 1.4.0–1.8.0) wykryto podatność w funkcji AdminGoodsService.validate w pliku litemall-vue/src/views/items/detail/index.vue komponentu Product Detail. Manipulacja argumentem detail prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-90569Niskie
W linlinjava litemall (wersje 1.5.0–1.8.0) wykryto lukę w funkcji AdminTopicController.validate w pliku litemall-vue/src/views/items/topic/index.vue komponentu Admin Topic Handler. Manipulacja prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-8772Średnie
W linlinjava litemall do wersji 1.8.0 wykryto podatność w nieznanej funkcji komponentu Admin Endpoint. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a wiele endpointów jest dotkniętych.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in linlinjava litemall up to 1.8.0. Affected by this vulnerability is the function backup/load of the file litemall-db/src/main/java/org/linlinjava/litemall/db/util/DbUtil.java of the component Database Setting Handler. The manipulation of the argument db/password leads to argument injection. The attack is possible to be carried out remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS