CVE-2025-66916
KrytyczneStreszczenie
Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.
Ocena ryzyka
Ryzyko obejmuje możliwość odczytu i zapisu dowolnych plików na serwerze, co może prowadzić do naruszenia poufności danych, modyfikacji systemu lub dalszej eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację RuoYi-Vue-Plus do wersji nowszej niż 5.5.1 oraz wdrożenie filtrowania danych wejściowych w interfejsie check-node-expression.
Inne podatności w RuoYi-Vue-Plus
Zobacz wszystkie- CVE-2026-88616Wysokie
Problem w RuoYi-Vue-Plus 6.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent FlwTaskController.java oraz elementy FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask.
- CVE-2026-58176Średnie
W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.
Oryginalny opis (angielski, źródło NVD)
The snailjob component in RuoYi-Vue-Plus versions 5.5.1 and earlier, interface /snail-job/workflow/check-node-expression can execute QLExpress expressions, but it does not filter user input, allowing attackers to use the File class to perform arbitrary file reading and writing.