CVE-2026-7305

Xuxueli xxl-job 3.3.2 sürümüne kadar olan versiyonlarında bir zayıflık tespit edilmiştir. Etkilenen unsur, trigger Endpoint bileşeninin xxl-job-admin/src/main/java/com/xxl/job/admin/service/impl/XxlJobServiceImpl.java dosyasındaki triggerJob fonksiyonudur. addressList argümanının manipüle edilmesi, sunucu taraflı istek sahteciliğine (SSRF) neden olmaktadır. Saldırıyı uzaktan başlatmak mümkündür. İstismar kodu kamuya açıklanmıştır ve saldırılar için kullanılabilir. Bu güvenlik açığının gerçek varlığına ilişkin şüpheler devam etmektedir. Proje yöneticisi (Çinceden çevrilmiş olarak) şunu açıklamıştır: "Tetikleyiciler manuel olarak etkinleştirilir; giriş yapmayı ve erişim kontrolünü gerektirir, bu nedenle yönetim altındadırlar." Araştırmacı tarafından gönderilen pull request bu nedenle reddedilmiştir.