CVE-2026-108802

NiskieCVSS 3.5

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Podatność w y_project RuoYi do wersji 4.8.3 dotyczy funkcji renderDrawer w pliku /system/dict/data/add komponentu Dictionary Data Drawer Preview. Manipulacja argumentem cssClass może prowadzić do ataku typu cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

Ocena ryzyka

Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, danych lub przejęcia konta administratora. Publiczna dostępność exploita zwiększa zagrożenie.

Rekomendacja

Zaleca się aktualizację y_project RuoYi do najnowszej wersji z poprawką. Należy również ograniczyć dostęp do panelu administracyjnego i stosować filtrowanie danych wejściowych.

Inne podatności w y_project RuoYi

CVE-2023-3163Niskie
Wykryto podatność w projekcie y_project RuoYi do wersji 4.7.7, klasyfikowaną jako problematyczną. Dotyczy ona funkcji filterKeyword, gdzie manipulacja wartością argumentu prowadzi do nadmiernego zużycia zasobów.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in y_project RuoYi up to 4.8.3. This affects the function renderDrawer of the file /system/dict/data/add of the component Dictionary Data Drawer Preview. Executing a manipulation of the argument cssClass can lead to cross site scripting. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS