CVE-2025-15098
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W komponencie zarządzania procesami biznesowymi (BPM) w YunaiV yudao-cloud do wersji 2025.11 występuje podatność na fałszerstwo żądań po stronie serwera (SSRF). Atakujący może zdalnie manipulować argumentami url/header/body w funkcjach BpmHttpCallbackTrigger i BpmSyncHttpRequestTrigger. Exploit został publicznie ujawniony.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wewnętrznych zasobów sieciowych oraz potencjalną eskalację ataków na inne systemy.
Rekomendacja
Należy natychmiast zaktualizować YunaiV yudao-cloud do najnowszej wersji lub zastosować dostępne łatki. Ograniczyć dostęp do komponentu BPM tylko dla zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in YunaiV yudao-cloud up to 2025.11. This affects the function BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger of the component Business Process Management. Executing manipulation of the argument url/header/body can lead to server-side request forgery. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.