CVE-2026-110106
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
RuoYi-Vue-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId} z identyfikatorem powiązania ofiary, aby usunąć powiązania GitHub, WeChat lub Gitee oraz przechowywane tokeny OAuth, blokując logowanie społecznościowe.
Ocena ryzyka
Ryzyko obejmuje zablokowanie użytkownikom dostępu przez znane platformy społecznościowe, co może prowadzić do utraty konta lub przejęcia tożsamości.
Rekomendacja
Należy weryfikować własność powiązania przed jego usunięciem oraz chronić endpoint DELETE /auth/unlock/{socialId} przed nieautoryzowanym dostępem.
Inne podatności w RuoYi-Vue-Plus
Zobacz wszystkie- CVE-2025-66916Krytyczne
Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.
- CVE-2026-88616Wysokie
Problem w RuoYi-Vue-Plus 6.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent FlwTaskController.java oraz elementy FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask.
- CVE-2026-58176Średnie
W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.
Oryginalny opis (angielski, źródło NVD)
RuoYi-Vue-Plus through 6.0.0 contains an insecure direct object reference vulnerability that allows authenticated users to delete other users' social login bindings by supplying their socialId. Attackers can send DELETE /auth/unlock/{socialId} requests with a victim's binding id to remove their GitHub, WeChat, or Gitee binding and stored OAuth tokens, blocking social login.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS