یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-96803 در سامانه java110 MicroCommunity (تا نسخه 2.0) شناسایی شده است. این نقص امنیتی از نوع SQL Injection بوده و به مهاجمان اجازه می‌دهد تا از طریق ارسال دستورات مخرب، دسترسی غیرمجاز به پایگاه داده به دست آورند.
جزئیات فنی آسیب‌پذیری
این مشکل در تابع QueryServiceSMOImpl.fallBack در فایل BusinessApi.java و در بخش fallBack API Endpoint رخ می‌دهد. مهاجم می‌تواند با دستکاری آرگومان fallBackSql، دستورات SQL دلخواه خود را به سیستم تزریق کند. با توجه به ماهیت این آسیب‌پذیری، یک SQL primitive قابل تزریق معمولاً منجر به دسترسی کامل برای خواندن و نوشتن (Read/Write) در پایگاه داده می‌شود.
تحلیل سطح دسترسی و بهره‌برداری
- نوع حمله: از راه دور (Remote) با پیچیدگی پایین (Low Complexity).
- احراز هویت: طبق گزارش‌های اولیه، این حمله بدون نیاز به احراز هویت (No Auth) قابل اجرا است، هرچند برخی تحلیل‌های مستقل اشاره دارند که در محیط‌های عملیاتی ممکن است این Endpoint پشت لایه‌های احراز هویت اپلیکیشن قرار داشته باشد.
- وضعیت اکسپلویت: کد بهره‌برداری (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است (در Gitee) و می‌تواند توسط عوامل تهدید مورد استفاده قرار گیرد.
وضعیت پاسخگویی
گزارش‌ها حاکی از آن است که توسعه‌دهندگان پروژه از طریق یک گزارش Issue در جریان این مشکل قرار گرفته‌اند، اما تا این لحظه پاسخی رسمی یا اصلاحیه‌ای برای رفع این نقص ارائه نداده‌اند.
