PT-2026-35825 · Xuxueli · Xxl-Job

Larlarua · Publicado 2026-04-28 · Atualizado 2026-04-28 · CVE-2026-7305

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas Xuxueli xxl-job versões anteriores a 3.3.3

Descrição Uma falsificação de solicitação do lado do servidor (SSRF) existe no endpoint 'trigger'. O problema reside na função triggerJob() dentro do arquivo xxl-job-admin/src/main/java/com/xxl/job/admin/service/impl/XxlJobServiceImpl.java, onde a manipulação inadequada do argumento addressList permite que um invasor remoto inicie solicitações não autorizadas. SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer solicitações para um destino inesperado.

Recomendações Atualize para uma versão posterior a 3.3.2. Como medida paliativa temporária, restrinja o acesso ao endpoint 'trigger' e garanta um controle de acesso rigoroso para a função triggerJob().

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-7305

Produtos afetados

Xxl-Job

Referências · 8

• 🔥 https://github.com/xuxueli/xxl-job/issues/3935 · Exploit
• https://github.com/xuxueli/xxl-job/pull/3937 · Correção
• https://vuldb.com/vuln/359960 · Nota
• https://vuldb.com/vuln/359960/cti · Nota
• https://github.com/xuxueli/xxl-job · Nota
• https://vuldb.com/submit/803076 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-7305 · Nota de Segurança
• https://twitter.com/CVEnew/status/2049227486316069003 · Publicação no Twitter