CVE-2026-90521: обход авторизации в jaychouchannel Tourism-Management-System
В jaychouchannel Tourism-Management-System обнаружена уязвимость обхода авторизации в компоненте CRUD (файл MenpiaodingdanController.java). Атаку можно провести удалённо, эксплойт уже опубликован. Уровень опасности по CVSS — 5.3 (MEDIUM).
Подробности
Уязвимость CVE-2026-90521 затрагивает jaychouchannel Tourism-Management-System вплоть до коммита 8122bf020d91199eddfff3ee02d1632a70a9a132. Проблема локализована в файле MenpiaodingdanController.java компонента CRUD. При манипуляции аргументом ID происходит обход авторизации (authorization bypass). Согласно описанию, атака возможна удалённо, то есть не требует физического доступа к системе или локальной учётной записи. Более того, эксплойт уже опубликован в открытых источниках и может быть использован злоумышленниками. Это существенно повышает практический риск, несмотря на средний базовый балл. Уязвимости присвоен рейтинг CVSS 5.3 (MEDIUM). Стоит учитывать, что итоговая оценка может варьироваться в зависимости от конфигурации конкретной инсталляции и доступности функционала CRUD извне. Отдельная сложность связана с моделью поставки продукта: проект использует rolling releases (непрерывные релизы), поэтому точные сведения о затронутых и исправленных версиях отсутствуют. Разработчики не публикуют дискретные номера версий, что затрудняет определение уязвимых развёртываний по формальным признакам. Исправление доступно в виде патча с идентификатором d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86.Что делать
Основная рекомендация — как можно скорее применить патч d44ec3aa0bd2a72c8800e3befb0a9a96a6491b86. Поскольку проект поставляет обновления по модели rolling releases, безопаснее всего обновиться до актуального состояния ветки, в которой патч уже включён, и убедиться, что ваш деплой содержит этот коммит. Дополнительные меры: - Ограничить сетевой доступ к административным и CRUD-эндпоинтам системы, не выставляя их в публичный интернет без необходимости. - Проверить журналы доступа на предмет подозрительных запросов к MenpiaodingdanController и операций с параметром ID. - Внедрить проверку авторизации на уровне серверной логики и, при возможности, WAF-правила для фильтрации аномальных запросов. - Если применить патч оперативно невозможно, рассмотреть временное отключение уязвимого функционала или его изоляцию. Итог: уязвимость CVE-2026-90521 позволяет удалённо обойти авторизацию в jaychouchannel Tourism-Management-System. Несмотря на средний уровень критичности, наличие публичного эксплойта и отсутствие информации о конкретных версиях делают ситуацию требующей оперативной реакции. Ключевое действие — применить патч и ограничить внешний доступ к уязвимому компоненту.Источник: CVE Project (cvelistV5)