CVE-2026-94045
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W aplikacji newbee-mall (do wersji 1.0.0) wykryto podatność typu cross-site scripting (XSS) w pliku controller/common/UploadController.java, w komponencie odpowiedzialnym za zapis towarów. Manipulacja argumentem goodsName pozwala na zdalne wstrzyknięcie złośliwego kodu. Exploit został publicznie ujawniony i może być wykorzystany do ataków.
Ocena ryzyka
Podatność umożliwia zdalne przeprowadzenie ataku XSS, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub wykonania dowolnych działań w przeglądarce ofiary. Ze względu na publicznie dostępny exploit ryzyko jest wysokie.
Rekomendacja
Należy niezwłocznie zaktualizować newbee-mall do najnowszej wersji, jeśli poprawka jest dostępna, lub zastosować filtrowanie i walidację danych wejściowych (szczególnie parametru goodsName) oraz wdrożyć mechanizmy ochrony przed XSS. Do czasu wydania poprawki zaleca się ograniczenie dostępu do funkcji uploadu i monitorowanie nietypowych żądań.
Inne podatności w newbee-mall
Zobacz wszystkie- CVE-2026-26219Krytyczne
Podatność w newbee-mall polega na przechowywaniu haseł użytkowników za pomocą niesolonego algorytmu MD5. Brak per-użytkowniczych soli i kontroli kosztów obliczeniowych umożliwia atakującym szybkie odzyskanie haseł w postaci jawnej po uzyskaniu skrótów z bazy danych lub kopii zapasowych.
- CVE-2026-26218Krytyczne
Podatność w projekcie newbee-mall polega na tym, że skrypt inicjalizacyjny bazy danych zawiera predefiniowane konta administratorów z domyślnym, łatwym do odgadnięcia hasłem. Jeśli wdrożenie używa tego skryptu i nie zmieni domyślnych danych logowania, nieuwierzytelniony atakujący może zalogować się jako administrator i przejąć pełną kontrolę nad aplikacją.
- CVE-2026-105573Średnie
W newbee-ltd newbee-mall do wersji 2.7.5 wykryto podatność w pliku /jshERP-boot/accountHead/updateAccountHeadAndDetail, w komponencie obsługi ilości w koszyku. Manipulacja argumentem goodsCount prowadzi do błędów logiki biznesowej. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10423Niskie
W newbee-mall 1.0 funkcja mallKaptcha w pliku /common/mall/kaptcha generuje captchę, którą można odgadnąć. Atak można przeprowadzić zdalnie, ma on wysoką złożoność i jest trudny do wykorzystania, a exploit jest publicznie dostępny.
- CVE-2025-10422Średnie
W newbee-mall do wersji 613a662adf1da7623ec34459bc83e3c1b12d8ce7 funkcja paySuccess w pliku /paySuccess (komponent Order Status Handler) jest podatna na manipulację argumentem orderNo prowadzącą do niewłaściwej autoryzacji. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in newbee-ltd newbee-mall up to 1.0.0. Impacted is an unknown function of the file controller/common/UploadController.java of the component Goods Save Endpoint. Performing a manipulation of the argument goodsName results in cross site scripting. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. ImageIO.read() is a format-agnostic read - it returns non-null for a polyglot PNG|<img onerror> payload, which is exactly why the "image-only" guard is bypassable; the attacker-controlled suffix + /upload/** static mapping is what turns the upload into persisted XSS rather than a one-shot. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS