CVE-2025-10277
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W YunaiV yudao-cloud do wersji 2025.09 wykryto podatność w pliku /crm/receivable/submit. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do funkcji systemu przez zdalnego atakującego, co może prowadzić do naruszenia integralności danych lub nieautoryzowanych operacji.
Rekomendacja
Zaleca się natychmiastową aktualizację yudao-cloud do wersji z poprawką, jeśli dostępna, oraz monitorowanie systemu pod kątem nieautoryzowanych działań.
Inne podatności w yudao-cloud
Zobacz wszystkie- CVE-2026-58448Średnie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
- CVE-2026-9464Średnie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in YunaiV yudao-cloud up to 2025.09. This issue affects some unknown processing of the file /crm/receivable/submit. The manipulation of the argument ID results in improper authorization. The attack can be executed remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS