SQL-инъекция в GongShengyue OnlineBooks (CVE-2026-90511)
В GongShengyue OnlineBooks обнаружена уязвимость SQL-инъекции в компоненте listSplit (файл BooksServlet.java). Атака возможна удалённо, эксплойт уже опубликован в открытом доступе. Уровень опасности по CVSS — 5.3 (MEDIUM).
Подробности
Уязвимость затрагивает неизвестный участок кода в файлеsrc/cn/ylcto/book/servlet/BooksServlet.java, относящемся к компоненту listSplit Interface. При манипуляции аргументом column приложение не выполняет должную проверку входных данных, что приводит к SQL-инъекции. Это позволяет злоумышленнику внедрять произвольные фрагменты SQL-запросов и потенциально получать доступ к данным или изменять их.
По классификации CVSS уязвимости присвоен базовый балл 5.3 (MEDIUM). Атака может быть выполнена удалённо, без необходимости физического доступа к системе. На момент публикации эксплойт уже является общедоступным, что повышает риск его практического использования.
Продукт распространяется по модели rolling release с непрерывной доставкой обновлений, поэтому конкретные номера уязвимых и исправленных версий не раскрываются. Уязвимость подтверждена для состояния репозитория вплоть до коммита dfc5eacc08d3b0396c266049548618f6fb9587ea.
Что делать
Поскольку информация о конкретных исправленных версиях отсутствует, рекомендуется принять следующие меры:- Проверить наличие актуальных обновлений у поставщика GongShengyue OnlineBooks и установить их незамедлительно.
- Если обновление недоступно, ограничить сетевой доступ к компоненту listSplit Interface, в том числе закрыть его от недоверенных сегментов сети.
- Применить фильтрацию и параметризацию SQL-запросов на уровне веб-приложения или WAF для блокировки типовых векторов инъекций.
- Провести аудит журналов доступа к BooksServlet.java на предмет подозрительной активности и аномальных значений параметра
column. - Рассмотреть ограничение прав учётной записи базы данных, используемой приложением, до минимально необходимых.
Источник: CVE Project (cvelistV5)