CVE-2026-120201

🚨 CVE-2026-120201 (CVSS 9.8 Critical) - PoC Available Sending "is not null" in the JPOM-USER-TOKEN header of Dromara Jpom (2.10.0–2.11.12) grants super-admin access and RCE. ⚡ Action: Upgrade Jpom beyond v2.11.12 immediately. 🔗 https://www.thehackerwire.com/vulnerability/CVE-2026-120201/ https://t.co/7OFHkTQwqG

🚨 CVE-2026-120201 (9.8) 🚨 Jpom lets unauthenticated attackers gain super admin access and run commands on the server. Versions 2.10.0 through 2.11.12 are affected. No fixed version is named. https://t.co/iJxDbjxPLe

CVE-2026-120201 (CVSS 9.8): auth bypass in Jpom 2.10.0 through 2.11.12 lets unauthenticated attackers gain super-admin access by injecting query conditions into the JPOM-USER-TOKEN header, then run commands via script features. Source: NVD

VulnCheck: Jpom 2.10.0–2.11.12 (CVE-2026-120201) lets unauthenticated attackers gain admin access and run commands via a token-header flaw. No confirmed exploitation or fix yet. Inventory deployments, restrict management access. #Cybersecurity #Infosec https://www.vulncheck.com/advisories/jpom-2.10.0-through-2.11.12-authentication-bypass-via-jpom-user-token-header

Critical Jpom Flaw Enables Unauthenticated Server Takeover https://www.abijita.com/jpom-critical-authentication-bypass-cve-2026-120201/

🚨Critical - Jpom Super-Admin Auth Bypass via JPOM-USER-TOKEN Condition Injection (CVE-2026-120201) Jpom server org.dromara.jpom:server auth trusts JPOM-USER-TOKEN and passes it into Hutool Condition parsing; injecting operators like "is not null" bypasses checks and grants super-administrator access. Attackers can then reach Jpom script features for unauthorized command execution. 👉Affected: org.dromara.jpom:server 2.10.0-2.11.12

#NØØT_Security_Alerts 🚨 #ALERT — Jpom Authentication Bypass Can Lead to Server Command Execution October 30, 2026 (researcher disclosure); October 31 (CVE publication) PRODUCT: Jpom | CVE-2026-120201. AFFECTED: Researcher reports versions 2.10.0–2.11.12; laboratory reproduction on 2.11.12. IMPACT: The JPOM-USER-TOKEN header reaches Hutool’s query-condition parser without sufficient validation. A crafted unauthenticated request can establish a user session; the researcher obtained super-administrator access on a fresh installation and executed commands through Jpom’s scripting features. Account selection may differ between deployments. EXPLOITATION STATUS: Researcher-reported working laboratory exploit. No confirmed malicious exploitation or independently reproduced compromise. FIX: No vendor-confirmed patched release identified as of November 1. TRIAGE: Review unusual authentication headers, newly established administrator sessions, script execution, trigger creation and managed-node activity. URGENT ACTION: Remove Jpom management endpoints from public access. Restrict them to trusted administrators through network controls or suspend exposure until a verified fix is available. Preserve relevant logs and investigate suspicious script activity. SOURCE: https://github.com/dromara/Jpom/issues/121 RELEASES: https://github.com/dromara/Jpom/releases CONFIDENCE: HIGH for the published code path and researcher evidence; vendor confirmation and real-world exploitation remain unestablished. #CyberSecurity #InfoSec #CVE #AppSec #DevSecOps

【11/1 朝】CVE・脆弱性ニュースまとめ ■国内 前回（10/31 本日のまとめ）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① Microsoft「Visual Studio」：認証局eMudhraの証明書流出に関連し、通信の相手になりすまされるおそれ（CVE-2026-118147、CVSS v3.1 7.4） Visual Studioが証明書を正しく検証しないため、ネットワーク上の攻撃者が通信の相手になりすませるおそれがある脆弱性で、日本時間1日未明にhttp://cve.orgへ登録されました。Microsoftは、中間証明書の秘密鍵が流出したインドの認証局eMudhraの問題への対応として、10月30日にVisual Studioの修正を出したと説明しています。影響はVisual Studio 2017（15.9.84より前）、2019（16.11.62より前）、2022（17.14.44より前）、2026（18.11.3より前）で、それぞれのバージョン以降に更新すれば修正されます。Windows本体の10月26日の臨時更新とは別に、Visual Studioも個別に更新が必要です。現時点で、この脆弱性の悪用は報告されていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118147 出典：Microsoft https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118147 出典：Microsoft https://www.microsoft.com/en-us/msrc/blog/2026/10/patch-now-php2shell-brotli-emudhra-guidance-for-customers ② Apache「Apache MINA 3.0（Java向けネットワーク通信フレームワーク）」：受け取ったデータを安全でない方法で復元し、リモートからコードを実行されうる脆弱性（CVE-2026-118636、CVSS v3.1 9.8） Javaのネットワークアプリケーションでよく使われるApache MINAのうち、開発途中の3.0系の部品JavaNativeMessageDecoderが、受け取ったデータを中身の確認なしにJavaオブジェクトへ復元（デシリアライズ）してしまう脆弱性です。この部品を信頼できない相手との通信に使っているアプリでは、細工したデータを送られるとリモートからコードを実行されるおそれがあります。影響は3.0.0〜3.0.0-M2で、3.0系はすでに開発が止まっているため修正版は出ず、Apacheは2.2系の最新版を使うよう呼びかけています。広く使われている2.x系は今回の対象に含まれていません。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118636 出典：Apache Software Foundation https://lists.apache.org/thread.html/h76nwcrkvsffhsk2kq6cjzc6srtnty7x ③ dromara「Jpom（サーバー運用・デプロイ管理ツール）」：ログイン不要で最高管理者になり、コマンドを実行されうる認証回避（CVE-2026-120201、CVSS 9.8） 中国発のオープンソースの運用管理ツールJpomで、API認証用のヘッダー「JPOM-USER-TOKEN」に送られた値が、そのまま検索条件として解釈されてしまう脆弱性です。ログインしていない攻撃者が「is not null」のような値を送るだけで最高管理者の権限を得て、Jpomのスクリプト機能からサーバー上でコマンドを実行できるおそれがあります。影響は2.10.0〜2.11.12で、2.11.12が現時点の最新版のため修正版はまだ出ていません。報告したリサーチャーによると開発元のリポジトリは2月以降更新が止まっており、インターネットから管理画面に届かないようにするのが当面の対策になります。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120201 出典：Jpom（GitHub） https://github.com/dromara/Jpom/issues/121 出典：VulnCheck https://www.vulncheck.com/advisories/jpom-2.10.0-through-2.11.12-authentication-bypass-via-jpom-user-token-header ④ anji-plus「AJ-Report（データ可視化・帳票ツール）」：埋め込みの固定鍵で共有トークンを偽造され、ログイン不要でコードを実行されうる脆弱性（CVE-2026-120209、CVSS 9.8） 中国発のオープンソースのBI・帳票ツールAJ-Reportで、レポート共有用のトークン（JWT）の署名にプログラムに埋め込まれた固定の鍵が使われているため、攻撃者が有効なトークンを手元で作れてしまいます。そのトークンを使うと、本来は認証が必要なデータ変換の試験機能に届き、送り込んだGroovyスクリプトがサーバー上で実行されるおそれがあります。影響は1.7.1以前で、修正版は確認できていません。公開サーバーで使っている場合は、外部からのアクセスを制限してください。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120209 出典：VulnCheck https://www.vulncheck.com/advisories/aj-report-through-1.7.1-authentication-bypass-leading-to-rce-via-share-token ■注意点 ・米CISAのKEVは1日朝の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・Linuxカーネル（CVE-2026-98432）は1日朝の時点でも、Ubuntuの主要リリースが修正版「作業中」のままです。 #脆弱性 #CVE #サイバーセキュリティ

🔴 dromara Jpom: authentication bypass in token header allows admin takeover (CVE-2026-120201) An unauthenticated attacker can bypass login, become a super administrator, and run server commands. No patch listed yet https://cve.now/CVE-2026-120201?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical