ช่องโหว่ Authentication Bypass — CVE-2026-120201 (CVSS 9.8)

📋 สรุปช่องโหว่

ช่องโหว่ Authentication Bypass มี CVSS Score 9.8 ระดับ "วิกฤต"

รายละเอียดต้นฉบับ: Jpom 2.10.0 through 2.11.12 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain super-administrator access by injecting query conditions into the JPOM-USER-TOKEN header. Attackers can send a value like 'is not null', which Hutool's Condition parser treats as an operator, then execute commands through Jpom's script features.

ผู้ดูแลระบบควรตรวจสอบและอัพเดตโดยเร็ว

💥 ผลกระทบที่อาจเกิดขึ้น

ช่องโหว่ระดับ วิกฤต (CVSS 9.8) บ่งชี้ว่าระบบมีความเสี่ยงสูง:

• ผู้โจมตีอาจใช้ช่องโหว่นี้เพื่อเข้าถึง แก้ไข หรือทำลายข้อมูล
• ระบบที่ยังไม่ได้ patch อาจถูกโจมตีได้ตลอดเวลา
• ดูผลกระทบเฉพาะที่ https://nvd.nist.gov/vuln/detail/CVE-2026-120201

🖥️ ซอฟต์แวร์และระบบที่ได้รับผลกระทบ

ตรวจสอบที่ https://nvd.nist.gov/vuln/detail/CVE-2026-120201

🔧 แนวทางการแก้ไขและป้องกัน

• ขั้นตอนแก้ไข:
• 1. ตรวจสอบ Vendor Advisory ที่ https://nvd.nist.gov/vuln/detail/CVE-2026-120201
• 2. อัพเดตเป็นเวอร์ชันล่าสุดทันที
• 3. ตรวจสอบ access log หาร่องรอยการโจมตี
• 4. ติดตั้ง WAF/Security monitoring
• 5. Backup ข้อมูลก่อนเปลี่ยนแปลงใดๆ

📄 รายละเอียดต้นฉบับ (ภาษาอังกฤษ)

Jpom 2.10.0 through 2.11.12 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain super-administrator access by injecting query conditions into the JPOM-USER-TOKEN header. Attackers can send a value like 'is not null', which Hutool's Condition parser treats as an operator, then execute commands through Jpom's script features.

🔗 แหล่งอ้างอิง