CVE-2026-120201: Bypass autenticazione critico in Jpom 2.10.0-2.11.12

CVE-2026-120201 è una vulnerabilità di autenticazione critica che colpisce Jpom versioni 2.10.0 fino a 2.11.12. La falla consente a un attaccante non autenticato di bypassare completamente i controlli di autenticazione inviando un valore manipolato nel header JPOM-USER-TOKEN, come 'is not null'. Il parser Hutool Condition della libreria gestisce erroneamente questo valore come operatore logico, concedendo accesso immediato con privilegi di super-amministratore all'applicazione Jpom, uno strumento di gestione del deployment.

La vulnerabilità ha CVSS 9,8 (critica). L'impatto è immediato: accesso super-amministratore abilita esecuzione di comandi arbitrari via scripting Jpom (RCE). Divulgata in NVD il 31 ottobre 2026, genera discussioni pubbliche (3 post, 6 interazioni nelle ultime 24 ore). Sfruttamento attivo in natura: non confermato secondo i dati. La semplicità tecnica dell'injection rende questo rischio prioritario.

Amministratori e team IT devono agire con urgenza: 1) identificare tutte le installazioni di Jpom e le loro versioni; 2) applicare aggiornamenti oltre 2.11.12 non appena disponibili dal progetto Dromara; 3) dove l'aggiornamento immediato non è possibile, implementare controlli di accesso rete verso reti interne trusted; 4) monitorare log per pattern sospetti di bypass autenticazione o esecuzione di comandi non autorizzati.

Le discussioni pubbliche sulle piattaforme social (3 post nelle ultime 24 ore con 6 interazioni cumulative al 31 ottobre) indicano che la vulnerabilità sta attirando attenzione. Sebbene questi canali spesso contengono informazioni non verificate, corrispondono ai dettagli tecnici presenti nella documentazione ufficiale NVD: injection nel header JPOM-USER-TOKEN, versioni interessate 2.10.0-2.11.12, esito RCE. Organizzazioni che hanno Jpom in ambienti critici o customer-facing devono considerare questa una situazione di escalation immediata.