CVE-2026-108111

ŚrednieCVSS 4.3

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji w punkcie końcowym GET /workflow/search, która ujawnia prywatne przepływy pracy innych użytkowników. Uwierzytelnieni użytkownicy niebędący administratorami mogą odpytywać ten punkt końcowy, który nie ma filtrowania właściciela ani is_public, aby wyświetlić włączone prywatne przepływy pracy w tej samej dzierżawie, w tym UUID oraz pełne konfiguracje węzłów i krawędzi.

Ocena ryzyka

Poufne przepływy pracy i ich konfiguracje mogą zostać ujawnione nieuprawnionym użytkownikom. Może to prowadzić do wycieku informacji i potencjalnego wykorzystania wewnętrznej logiki.

Rekomendacja

Zaktualizuj ruoyi-ai do wersji zawierającej poprawkę. Ogranicz dostęp do punktu końcowego /workflow/search i wdróż kontrole autoryzacji.

Inne podatności w ruoyi-ai

CVE-2026-108112Średnie
ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać przepływy pracy innych użytkowników poprzez POST /workflow/del/{uuid}. Atakujący mogą uzyskać UUID przepływów z GET /workflow/search i podać je, ponieważ softDelete() pomija sprawdzenie własności PrivilegeUtil.checkAndGetByUuid(), usuwając przepływy właścicieli.

Oryginalny opis (angielski, źródło NVD)

ruoyi-ai 3.0.0 through 3.1.0 contains a missing authorization vulnerability in the GET /workflow/search endpoint that exposes other users' private workflows. Authenticated non-admin users can query this endpoint, which lacks owner or is_public filtering, to list enabled private workflows in the same tenant, including UUIDs and full node and edge configurations.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS