CVE-2025-66916

Krytyczne

Opublikowano: 08/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.

Ocena ryzyka

Ryzyko obejmuje możliwość odczytu i zapisu dowolnych plików na serwerze, co może prowadzić do naruszenia poufności danych, modyfikacji systemu lub dalszej eskalacji uprawnień.

Rekomendacja

Zaleca się natychmiastową aktualizację RuoYi-Vue-Plus do wersji nowszej niż 5.5.1 oraz wdrożenie filtrowania danych wejściowych w interfejsie check-node-expression.

Oryginalny opis (angielski, źródło NVD)

The snailjob component in RuoYi-Vue-Plus versions 5.5.1 and earlier, interface /snail-job/workflow/check-node-expression can execute QLExpress expressions, but it does not filter user input, allowing attackers to use the File class to perform arbitrary file reading and writing.