یک آسیب‌پذیری جدید از نوع Stored Cross-Site Scripting (XSS) با شناسه CVE-2026-94426 در پلتفرم مدیریت وظایف XXL-JOB (تا نسخه 3.5.0) شناسایی شده است. این نقص امنیتی در تابع مربوط به فایل /jobgroup/insert و به‌طور مشخص در آرگومان Name رخ می‌دهد.
جزئیات فنی و مکانیسم حمله
در این سناریو، یک مهاجم با دسترسی‌های سطح پایین (Authenticated low-priv attacker) که اجازه مدیریت گروه‌های کاری (Job Groups) را دارد، می‌تواند کدهای مخرب را از طریق پارامتر Name در اندپوینت /jobgroup/insert تزریق کند. این اسکریپت‌ها در دیتابیس ذخیره شده و زمانی که یک کاربر با سطح دسترسی Admin لیست گروه‌های کاری را مشاهده کند، کد تزریق شده در محیط مرورگر مدیر اجرا می‌شود.
تحلیل ریسک و وضعیت فعلی
- تاثیرات: این حمله منجر به اجرای کد در Context مرورگر کاربر هدف می‌شود که می‌تواند منجر به سرقت Session یا دستکاری رابط کاربری شود.
- وضعیت اکسپلویت: کد اثبات مفهوم (PoC) این آسیب‌پذیری در GitHub منتشر شده است، اما تاکنون شواهدی از بهره‌برداری گسترده در محیط‌های عملیاتی (مانند لیست CISA KEV) مشاهده نشده است.
- پاسخ سازنده: طبق گزارش‌ها، سازنده نرم‌افزار تا این لحظه به تلاش‌های برای هماهنگی جهت رفع این نقص پاسخ نداده و نسخه‌ای اصلاح شده منتشر نکرده است.
سوابق امنیتی XXL-JOB
لازم به ذکر است که این پلتفرم در نسخه‌های پیشین با آسیب‌پذیری‌های بحرانی‌تری از جمله Remote Code Execution (RCE)، SSRF و Privilege Escalation روبرو بوده است که نشان‌دهنده نیاز مبرم به بازبینی امنیتی در پیاده‌سازی‌های این سیستم است.
