CVE-2025-2708
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
W aplikacji zhijiantianya ruoyi-vue-pro 2.4.1 zidentyfikowano lukę w nieznanej funkcji pliku /admin-api/infra/file/upload w komponencie Backend File Upload Interface. Manipulacja argumentem path prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostępna jest poprawka o nazwie 4ae3f6b2c9883978837638c14e3d18419819eeb0.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do odczytu lub zapisu plików poza zamierzonym katalogiem, co może prowadzić do ujawnienia danych lub wykonania kodu. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Zastosuj poprawkę 4ae3f6b2c9883978837638c14e3d18419819eeb0 lub zaktualizuj do wersji zawierającej tę poprawkę. Dodatkowo zweryfikuj walidację ścieżek w interfejsie przesyłania plików.
Inne podatności w ruoyi-vue-pro
Zobacz wszystkie- CVE-2026-116007Niskie
W projekcie YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.09 wykryto błąd w funkcji SmsCodeServiceImpl.validateSmsCode0 w pliku /service/sms/SmsCodeServiceImpl.java, dotyczącej weryfikacji kodu SMS. Manipulacja powoduje niewłaściwe ograniczenie nadmiernej liczby prób uwierzytelnienia. Atak można zainicjować zdalnie, choć jego złożoność jest wysoka, a eksploatacja uznawana za trudną; exploit został opublikowany.
- CVE-2026-116006Wysokie
Wykryto podatność w projekcie YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.09. Nieznana funkcja w pliku AuthController.java, obsługująca weryfikację kodu SMS, niewłaściwie przetwarza argumenty mobile/code, co prowadzi do nieprawidłowego uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-110610Średnie
ruoyi-vue-pro do wersji 2026.09 zawiera podatność Server-Side Request Forgery (SSRF) w usłudze obrazów yudao-module-ai, która pozwala uwierzytelnionym użytkownikom na zmuszenie serwera do pobierania dowolnych adresów URL poprzez podanie referImageUrl do endpointu midjourney imagine. Atakujący mogą wymusić żądania Hutool HttpUtil.downloadBytes() do adresów loopback, prywatnych lub metadanych chmury, aby sondować wewnętrzne usługi HTTP i uzyskać dostęp do endpointów metadanych.
- CVE-2026-97325Średnie
W systemie ruoyi-vue-pro do wersji 2026.08 wykryto lukę w funkcji validOAuthClientFromCache w pliku OAuth2ClientServiceImpl.java. Manipulacja argumentem redirect_uri prowadzi do otwartego przekierowania. Exploit jest publicznie dostępny, a producent nie odpowiedział.
- CVE-2026-97324Wysokie
W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w funkcji updateDemoOrderPaid w kontrolerze PayDemoOrderController. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-97323Średnie
W systemie ruoyi-vue-pro do wersji 2026.08 wykryto lukę w funkcji getOriginalFilename w pliku MpMaterialServiceImpl.java w komponencie File Upload. Manipulacja prowadzi do path traversal. Exploit jest publicznie dostępny, a producent nie odpowiedział.
- CVE-2026-97322Średnie
W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w komponencie File Upload, w pliku FileController.java. Manipulacja danymi wejściowymi prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97321Średnie
W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w komponencie GoView Data Endpoint, w funkcji GoViewDataServiceImpl.getDataBySQL. Manipulacja argumentem sql prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97320Średnie
W YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.08 funkcja AiKnowledgeDocumentServiceImpl.readUrl w pliku AiKnowledgeDocumentServiceImpl.java (komponent AI Knowledge Module) umożliwia atakującemu zdalne wywołanie podatności Server-Side Request Forgery poprzez manipulację argumentem url. Exploit został opublikowany, a dostawca zdecydował o zachowaniu obecnego zachowania bez zmian w kodzie.
- CVE-2026-57950Wysokie
Podatność w ruoyi-vue-pro do wersji 2026.05 (załatana w commicie 5d1fd70) polega na błędnym egzekwowaniu przestrzeni nazw uprawnień w kontrolerze ErpSaleOrderController. Atakujący z uprawnieniami erp:sale-out mogą uzyskać nieautoryzowany dostęp do operacji na zamówieniach sprzedaży, wykonując nieuprawnione tworzenie, aktualizację, usuwanie i odczyt wrażliwych finansowo zamówień.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in zhijiantianya ruoyi-vue-pro 2.4.1. Affected is an unknown function of the file /admin-api/infra/file/upload of the component Backend File Upload Interface. Such manipulation of the argument path leads to path traversal. The attack may be performed from remote. The exploit is publicly available and might be used. The name of the patch is 4ae3f6b2c9883978837638c14e3d18419819eeb0. Applying a patch is advised to resolve this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS