CVE-2026-10550

ELADMIN (eladmin-mp) do wersji 2.7 zawiera podatność niewłaściwej kontroli dostępu w module zarządzania rolami. Endpoint PUT /api/roles/menu autoryzuje żądanie jedynie przez porównanie poziomu roli docelowej z minimalnym poziomem wywołującego, nie walidując przyznawanego zestawu menu ani nie blokując modyfikacji własnej roli. Zalogowany użytkownik niebędący administratorem z uprawnieniem roles:edit może przesłać własne id roli wraz z dowolną listą id menu.

eladmin do wersji 2.7 zawiera podatność obejścia autoryzacji, która pozwala menedżerom użytkowników o zakresie departamentu modyfikować lub usuwać konta poza ich zakresem danych, ponieważ procedury obsługi zapisu pomijają sprawdzanie departamentu. Atakujący z uprawnieniami user:edit lub user:del mogą wysyłać żądania PUT lub DELETE do /api/users z identyfikatorami docelowych użytkowników, aby wyłączyć, przenieść, zmienić lub usunąć konta w innych departamentach.

ELADMIN w wersji 2.7 i wcześniejszych zawiera podatność niewłaściwej kontroli dostępu w punkcie końcowym zarządzania użytkownikami PUT /api/users/resetPwd klasy me.zhengjie.modules.system.rest.UserController. Metoda ta nie ma sprawdzania autoryzacji na poziomie metody stosowanego w innych punktach końcowych i nie wykonuje walidacji roli ani własności w UserServiceImpl.resetPwd. Każdy uwierzytelniony użytkownik o dowolnej roli może zresetować hasło dowolnego użytkownika, w tym wbudowanego administratora.

ELADMIN w wersji 2.7 i wcześniejszych jest podatny na Cross Site Scripting (XSS) poprzez komponenty WebSocketServer, SpringSecurityConfig oraz deploy.vue. Nieprawidłowa neutralizacja danych wejściowych pozwala na wstrzyknięcie złośliwego skryptu.

eladmin do commita 55fbf70 zawiera podatność braku autoryzacji w handlerze downloadS3Storage, która pozwala każdemu uwierzytelnionemu użytkownikowi pobierać adresy URL przechowywanych obiektów bez uprawnień do magazynu. Atakujący może enumerować kolejne identyfikatory w żądaniach GET /api/s3Storage/download/{id}, aby zebrać adresy URL wszystkich przesłanych obiektów, ujawniając zawartość plików w publicznie czytelnych bucketach.

Podatność braku autoryzacji w Eladmin do wersji 2.7 w obsłudze uploadPicture w LocalStorageController pozwala użytkownikom z niskimi uprawnieniami na obejście uprawnienia storage:add. Atakujący mogą wysyłać żądania POST z plikami o nazwach obrazów do /api/localStorage/pictures, aby zapisywać pliki w lokalnej pamięci serwera i ujawniać bezwzględne ścieżki serwera.

W projekcie elunez eladmin do wersji 2.7 znaleziono podatność dotyczącą funkcji EmailController, AliPayController, GeneratorController i GenConfigController. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.