CVE-2026-106705
WysokieCVSS 8.8Streszczenie
ELADMIN (eladmin-mp) do wersji 2.7 zawiera podatność niewłaściwej kontroli dostępu w module zarządzania rolami. Endpoint PUT /api/roles/menu autoryzuje żądanie jedynie przez porównanie poziomu roli docelowej z minimalnym poziomem wywołującego, nie walidując przyznawanego zestawu menu ani nie blokując modyfikacji własnej roli. Zalogowany użytkownik niebędący administratorem z uprawnieniem roles:edit może przesłać własne id roli wraz z dowolną listą id menu.
Ocena ryzyka
Użytkownik z uprawnieniem roles:edit może przyznać sobie dostęp do dowolnych funkcji menu, eskalując uprawnienia i uzyskując dostęp do funkcji administracyjnych.
Rekomendacja
Zaktualizuj ELADMIN do wersji zawierającej poprawkę lub wdróż walidację przyznawanych uprawnień oraz blokadę modyfikacji własnej roli przez wywołującego.
Inne podatności w ELADMIN
Zobacz wszystkie- CVE-2026-106700Wysokie
ELADMIN w wersji 2.7 i wcześniejszych zawiera podatność niewłaściwej kontroli dostępu w punkcie końcowym zarządzania użytkownikami PUT /api/users/resetPwd klasy me.zhengjie.modules.system.rest.UserController. Metoda ta nie ma sprawdzania autoryzacji na poziomie metody stosowanego w innych punktach końcowych i nie wykonuje walidacji roli ani własności w UserServiceImpl.resetPwd. Każdy uwierzytelniony użytkownik o dowolnej roli może zresetować hasło dowolnego użytkownika, w tym wbudowanego administratora.
- CVE-2026-106701Średnie
ELADMIN w wersji 2.7 i wcześniejszych jest podatny na Cross Site Scripting (XSS) poprzez komponenty WebSocketServer, SpringSecurityConfig oraz deploy.vue. Nieprawidłowa neutralizacja danych wejściowych pozwala na wstrzyknięcie złośliwego skryptu.
- CVE-2026-108706Średnie
eladmin do commita 55fbf70 zawiera podatność braku autoryzacji w handlerze downloadS3Storage, która pozwala każdemu uwierzytelnionemu użytkownikowi pobierać adresy URL przechowywanych obiektów bez uprawnień do magazynu. Atakujący może enumerować kolejne identyfikatory w żądaniach GET /api/s3Storage/download/{id}, aby zebrać adresy URL wszystkich przesłanych obiektów, ujawniając zawartość plików w publicznie czytelnych bucketach.
- CVE-2026-108688Średnie
Podatność braku autoryzacji w Eladmin do wersji 2.7 w obsłudze uploadPicture w LocalStorageController pozwala użytkownikom z niskimi uprawnieniami na obejście uprawnienia storage:add. Atakujący mogą wysyłać żądania POST z plikami o nazwach obrazów do /api/localStorage/pictures, aby zapisywać pliki w lokalnej pamięci serwera i ujawniać bezwzględne ścieżki serwera.
- CVE-2026-77036Średnie
W projekcie elunez eladmin do wersji 2.7 znaleziono podatność dotyczącą funkcji EmailController, AliPayController, GeneratorController i GenConfigController. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-10550Średnie
W aplikacji eladmin do wersji 2.7 wykryto podatność na wstrzykiwanie poleceń w komponencie Application Deployment Module. Atak polega na manipulacji argumentem uploadPath w pliku App.java i może być przeprowadzony zdalnie. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
ELADMIN (eladmin-mp) up to 2.7 contains an improper access control vulnerability in the role management module. The endpoint PUT /api/roles/menu (RoleController.updateRoleMenu) authorizes the request only by comparing the target role's level with the caller's minimum level. The application neither validates the granted menu set nor prevents a caller from modifying its own role. A logged-in non-admin user whose role holds the delegated `roles:edit` permission can submit its own role id together with an arbitrary list of menu ids.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS