CVE-2026-94426

XXL-JOB w wersji 3.5.0-SNAPSHOT i wcześniejszych zawiera podatność Cross-Site Request Forgery (CSRF) w kontrolerze zarządzania użytkownikami (JobUserController). Punkty końcowe /user/insert, /user/update i /user/delete nie mają ochrony CSRF i nie ograniczają metody HTTP.

XXL-JOB w wersji do 3.5.0-SNAPSHOT zawiera podatność typu stored XSS na stronie listy logów zadań (/joblog). Uwierzytelniony użytkownik z uprawnieniami do grupy wykonawczej może wstrzyknąć dowolny JavaScript poprzez parametr executorParam w żądaniu POST /jobinfo/trigger.

XXL-JOB w wersji do 3.5.0-SNAPSHOT jest podatny na stored XSS w edytorze kodu GLUE. Metoda JobCodeController.save() przechowuje parametr glueSource bez kodowania wyjściowego, a szablon FreeMarker job.code.ftl renderuje zapisaną wartość bez escapowania.

Znaleziono podatność w xuxueli xxl-job do wersji 3.4.2/3.5.0. Podatność dotyczy nieznanego kodu w pliku JobInfoController.java w komponencie Task Management Interface. Manipulacja argumentem name/author prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.

Zidentyfikowano podatność w Xuxueli xxl-job do wersji 3.5.0. Nieznany kod w pliku /jobinfo/insert nieprawidłowo przetwarza argumenty name/author, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w Xuxueli xxl-job do wersji 3.4.2. Funkcja GroovyClassLoader.parseClass w pliku GlueFactory.java nieprawidłowo przetwarza dane, co prowadzi do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Xuxueli xxl-job do wersji 3.4.2 wykryto podatność w nieznanej funkcjonalności pliku xxl-job-admin/src/main/java/com/xxl/job/admin/business/controller/JobGroupController.java. Manipulacja prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być wykorzystany. Producent został wcześnie powiadomiony, ale nie odpowiedział.

xxl-job w wersji 3.4.0 zawiera podatność SSRF w komponencie xxl-job-admin/jobinfo/trigger. Uwierzytelnieni atakujący mogą skanować zasoby poprzez spreparowane żądanie HTTP.

XXL-Job w wersji 2.4.2 ma podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Uwierzytelnieni użytkownicy mogą odczytywać logi wykonania zadań z grup, do których nie mają dostępu, podając sekwencyjne identyfikatory logów do endpointu logDetailCat.

W XXL-Job v2.4.1 wykryto podatność na eskalację uprawnień w poziomie, która umożliwia użytkownikowi wykonanie dowolnych poleceń na koncie innego użytkownika poprzez spreparowane żądanie POST do komponentu /jobinfo/.