What’s Vulnerable › Vulnerabilities

CVE-2026-120201: Jpom 2.10.0 through 2.11.12 Authentication Bypass via JPOM-USER-TOKEN Header

Description

Jpom 2.10.0 through 2.11.12 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain super-administrator access by injecting query conditions into the JPOM-USER-TOKEN header. Attackers can send a value like 'is not null', which Hutool's Condition parser treats as an operator, then execute commands through Jpom's script features.

Summary

Jpom 2.10.0 through 2.11.12 contains a critical authentication bypass (CVSS 9.8) in which an unauthenticated attacker can inject query conditions such as 'is not null' into the JPOM-USER-TOKEN header. Hutool's Condition parser treats the injected value as an operator, granting super-administrator access and allowing command execution through Jpom's script features. No exploitation in the wild is reported and the issue is not in CISA KEV. Upgrade Jpom beyond 2.11.12 to a fixed release; if no fixed version is available, restrict network access to the Jpom server and monitor for suspicious JPOM-USER-TOKEN header values.

تحتوي Jpom من الإصدار 2.10.0 حتى 2.11.12 على ثغرة تجاوز مصادقة خطيرة (CVSS 9.8) تتيح لمهاجم غير مُصادَق عليه حقن شروط استعلام مثل 'is not null' في ترويسة JPOM-USER-TOKEN. يتعامل محلل Condition في Hutool مع القيمة المحقونة كعامل تشغيل، ما يمنح صلاحيات المسؤول الأعلى ويسمح بتنفيذ أوامر عبر ميزات السكربت في Jpom. لا توجد تقارير عن استغلال فعلي في البرية، والثغرة ليست ضمن CISA KEV. يجب الترقية إلى إصدار أحدث من 2.11.12؛ وإذا لم يتوفر إصدار مُصلَح، فقيّد الوصول الشبكي إلى خادم Jpom وراقب قيم ترويسة JPOM-USER-TOKEN المشبوهة.

Affected products

References

Get alerted when CVE-2026-120201 or the next vulnerability affects your stack