CVE-2026-102293: нарушение авторизации в realjerrytang tacomall
В realjerrytang tacomall 1.0.0 обнаружена уязвимость неправильной авторизации в компоненте api-admin Backend. Манипулируя аргументами isAdmin и jobId в функции OrgStaffServiceImpl.add, злоумышленник может обойти проверки прав доступа. Эксплойт опубликован публично, что повышает риск эксплуатации.
Подробности
Уязвимости присвоен идентификатор CVE-2026-102293. Она затрагивает realjerrytang tacomall версии 1.0.0. Уязвимой является функция OrgStaffServiceImpl.add, расположенная в файле ApiMaApplication.java, входящем в состав компонента api-admin Backend. Суть проблемы — неправильная авторизация (improper authorization). При обработке запроса на добавление сотрудника организации злоумышленник может манипулировать аргументами isAdmin и jobId. Это позволяет обойти штатные проверки прав и, например, назначить пользователю административные привилегии или изменить его должность в обход установленных ограничений. По шкале CVSS уязвимость получила оценку 6.9 (MEDIUM). Эксплуатация возможна удалённо, без необходимости физического доступа к системе. Более того, публичный эксплойт уже доступен, что существенно повышает вероятность реальных атак — злоумышленникам не требуется разрабатывать собственный инструментарий. Стоит отметить, что подобные дефекты авторизации часто становятся первым шагом в цепочке атак: получив повышенные права в административной панели, атакующий может развить компрометацию, получить доступ к данным заказов, персональной информации клиентов и другим критичным ресурсам.Что делать
На момент публикации записи CVE официальный патч от разработчика не упоминается. Рекомендуется следующий комплекс мер: - Проверить, используется ли realjerrytang tacomall 1.0.0 в вашей инфраструктуре, и оценить, доступен ли компонент api-admin Backend из внешней сети. - Ограничить сетевой доступ к административному бэкенду: разместить его за VPN, настроить белые списки IP-адресов или закрыть периметром. - Ввести дополнительный контроль на уровне обратного прокси или WAF: фильтровать запросы к функции добавления сотрудников, отклонять попытки передачи привилегированных значений в параметрах isAdmin и jobId. - Ужесточить проверку прав на стороне сервера, если есть возможность самостоятельной доработки: валидировать значения isAdmin и jobId в зависимости от роли инициирующего пользователя, а не полагаться только на клиентские данные. - Отслеживать обновления проекта realjerrytang tacomall и установить исправленную версию сразу после её выпуска. - Провести аудит журналов административной панели на предмет подозрительных операций добавления сотрудников и изменения привилегий.Итог
CVE-2026-102293 — это уязвимость неправильной авторизации в realjerrytang tacomall 1.0.0 с оценкой 6.9 MEDIUM и публично доступным эксплойтом. Основной риск заключается в возможности удалённого повышения привилегий через административный бэкенд. До выпуска официального исправления наиболее действенные меры — изоляция api-admin Backend от публичной сети, фильтрация подозрительных запросов и усиление серверной валидации прав.Источник: CVE Project (cvelistV5)