Уязвимость SQL-инъекции в erzhongxmu JEEWMS (CVE-2026-108775)
В erzhongxmu JEEWMS обнаружена уязвимость SQL-инъекции в компоненте Search Endpoint. Атака возможна удалённо, эксплойт уже опубликован, а производитель не ответил на уведомление. Уровень опасности — средний (CVSS 5.3).
Подробности
Уязвимость затрагивает erzhongxmu JEEWMS вплоть до версии 2026.09.27-W39. Проблемный участок кода — функция WvNoticeController.list в файле com/zzjee/wmapi/controller/WvNoticeController.java, относящаяся к компоненту Search Endpoint. При обработке аргумента searchstr не выполняется должная валидация и параметризация, что приводит к классической SQL-инъекции (CWE-89). Эксплуатация возможна удалённо, без аутентификации на локальном уровне — достаточно отправить специально сформированный запрос к поисковому endpoint. Оценка по шкале CVSS v3.1 составляет 5.3 (MEDIUM). Эксплойт был раскрыт публично и, по данным источника, уже может использоваться. Разработчик был уведомлён об уязвимости заранее, однако не отреагировал на обращение. Последствия успешной атаки включают несанкционированное чтение данных из базы, а в зависимости от конфигурации СУБД и прав учётной записи приложения — модификацию или удаление записей. Для складских систем это означает риск утечки сведений о запасах, заказах, контрагентах и логистических операциях.Что делать
Официального патча на момент публикации нет: вендор не ответил на уведомление, поэтому обновление до исправленной версии недоступно. Рекомендуется применить компенсирующие меры:- Ограничить сетевой доступ к JEEWMS и, в частности, к endpoint поиска — не публиковать приложение в интернет без необходимости.
- Разместить систему за reverse proxy или WAF с правилами фильтрации SQL-инъекций (сигнатуры для searchstr и аналогичных параметров).
- Провести ручной аудит кода WvNoticeController.java и заменить конкатенацию строк в SQL-запросах на параметризованные запросы (PreparedStatement).
- Снизить привилегии учётной записи, под которой приложение подключается к базе данных: запретить DDL-операции и доступ к лишним таблицам.
- Включить журналирование запросов к БД и мониторинг аномальной активности на поисковых endpoint.
- При наличии возможности — рассмотреть переход на поддерживаемую альтернативу или форк с исправлением.
Итог
CVE-2026-108775 — умеренно опасная, но уже публично эксплуатируемая SQL-инъекция в JEEWMS. Ключевой фактор риска — отсутствие реакции вендора и, как следствие, отсутствие патча. Организациям, использующим эту систему, следует немедленно ограничить её доступность извне и внедрить компенсирующие меры защиты до выпуска официального исправления.Источник: CVE Project (cvelistV5)