CVE-2026-108112

ŚrednieCVSS 5.4

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać przepływy pracy innych użytkowników poprzez POST /workflow/del/{uuid}. Atakujący mogą uzyskać UUID przepływów z GET /workflow/search i podać je, ponieważ softDelete() pomija sprawdzenie własności PrivilegeUtil.checkAndGetByUuid(), usuwając przepływy właścicieli.

Ocena ryzyka

Uwierzytelniony użytkownik może usunąć przepływy pracy należące do innych, powodując utratę danych i zakłócenia operacyjne. Może to naruszyć integralność i dostępność systemu.

Rekomendacja

Zaktualizuj ruoyi-ai do wersji zawierającej poprawkę. W międzyczasie ogranicz dostęp do punktów końcowych workflow i monitoruj nieautoryzowane próby usunięcia.

Inne podatności w ruoyi-ai

CVE-2026-108111Średnie
ruoyi-ai w wersjach od 3.0.0 do 3.1.0 zawiera podatność braku autoryzacji w punkcie końcowym GET /workflow/search, która ujawnia prywatne przepływy pracy innych użytkowników. Uwierzytelnieni użytkownicy niebędący administratorami mogą odpytywać ten punkt końcowy, który nie ma filtrowania właściciela ani is_public, aby wyświetlić włączone prywatne przepływy pracy w tej samej dzierżawie, w tym UUID oraz pełne konfiguracje węzłów i krawędzi.

Oryginalny opis (angielski, źródło NVD)

ruoyi-ai 3.0.0 through 3.1.0 contains a missing authorization vulnerability that allows authenticated users to delete other users' workflows via POST /workflow/del/{uuid}. Attackers can obtain workflow UUIDs from GET /workflow/search and supply them because softDelete() skips the PrivilegeUtil.checkAndGetByUuid() ownership check, removing owners' workflows.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS