Jpomに認証回避の脆弱性、管理者権限を奪われる恐れ
Summary
Jpom 2.10.0から2.11.12に、ログインなしでスーパー管理者の権限を得られる脆弱性が公表されました。Jpomを使う組織は、版と到達範囲を調べ、修正版の有無を確認して更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Jpom 2.10.0から2.11.12に、ログインなしでスーパー管理者の権限を得られる脆弱性が公表されました。Jpomを使う組織は、版と到達範囲を調べ、修正版の有無を確認して更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| dromara | Jpom |
2.10.0 – 2.11.12 |
— |
Original description The description as published by the source.
Jpom 2.10.0 through 2.11.12 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain super-administrator access by injecting query conditions into the JPOM-USER-TOKEN header. Attackers can send a value like 'is not null', which Hutool's Condition parser treats as an operator, then execute commands through Jpom's script features.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com