SQL-инъекция в java110 MicroCommunity через fallBack API (CVE-2026-96803)

В популярной открытой платформе для управления жилыми комплексами java110 MicroCommunity выявлена уязвимость, позволяющая удалённому атакующему внедрять произвольный SQL-код. Проблема затрагивает версии продукта вплоть до 2.0 включительно и получила идентификатор CVE-2026-96803.

Подробности

Уязвимость локализована в компоненте fallBack API Endpoint — функции QueryServiceSMOImpl.fallBack файла BusinessApi.java. При обработке параметра fallBackSql приложение не выполняет должной проверки входных данных, что позволяет злоумышленнику подставить собственные SQL-конструкции и получить несанкционированный доступ к базе данных.

По классификации CWE это SQL-инъекция (CWE-89). Атака может быть проведена удалённо, без необходимости физического доступа к инфраструктуре или предварительной аутентификации в privileged-режиме. CVSS-оценка составляет 6.9 балла, что соответствует среднему уровню критичности — эксплуатация требует определённых условий, однако потенциальный ущерб достаточно серьёзен.

Особую тревогу вызывает тот факт, что рабочий эксплойт уже находится в открытом доступе и может быть использован злоумышленниками. При этом, согласно записи CVE, проект был уведомлён о проблеме через issue-репорт заранее, но до сих пор не отреагировал и не выпустил патч.

Что делать

На момент публикации официального исправления нет. До его появления рекомендуется принять следующие меры:

• Ограничить сетевой доступ к endpoint-ам fallBack API — по возможности закрыть их от внешних подключений средствами файрвола или обратного прокси.
• Включить строгую проверку и валидацию параметра fallBackSql на уровне WAF, заблокировав подозрительные SQL-паттерны.
• Провести аудит прав учётной записи, под которой работает приложение, — принцип наименьших привилегий снизит возможный ущерб.
• Включить расширенное логирование обращений к уязвимому эндпоинту для своевременного выявления попыток эксплуатации.
• Следить за обновлениями репозитория java110 MicroCommunity и установить патч сразу после его выхода.

SQL-инъекции остаются одним из наиболее распространённых и опасных классов уязвимостей веб-приложений. В случае с MicroCommunity успешная эксплуатация может привести к утечке персональных данных жильцов, изменению платёжной информации и полной компрометации backend-базы. Учитывая наличие публичного эксплойта и отсутствие патча, владельцам систем на базе java110 MicroCommunity следует отнестись к проблеме максимально серьёзно и не откладывать митигации.

Источник: CVE Project (cvelistV5)