CVE-2026-110107

ŚrednieCVSS 4.2

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

RuoYi-Cloud-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId}, które usuwa wiersze sys_social na podstawie klucza głównego bez weryfikacji własności, usuwając tokeny OAuth ofiary i blokując logowanie społecznościowe.

Ocena ryzyka

Ryzyko obejmuje zablokowanie dostępu użytkowników do kont przez logowanie społecznościowe, co może prowadzić do utraty dostępu lub zmiany tożsamości.

Rekomendacja

Należy sprawdzać, czy socialId powiązany z zapytaniem należy do zalogowanego użytkownika, oraz dodać mechanizmy autoryzacji do endpointu DELETE /auth/unlock/{socialId}.

Inne podatności w RuoYi-Cloud-Plus

CVE-2026-71807Średnie
W RuoYi-Cloud-Plus do wersji 2.6.2 w module ruoyi-workflow, wiele kluczowych API zadań w FlwTaskController nie ma adnotacji uprawnień, a warstwa serwisowa nie weryfikuje, czy bieżący użytkownik jest wykonawcą zadania lub powiązanym użytkownikiem. Zdalni atakujący z niskimi uprawnieniami mogą odczytywać wrażliwe szczegóły zadań przepływu pracy i wywoływać nieautoryzowane wykonania przepływów pracy.

Oryginalny opis (angielski, źródło NVD)

RuoYi-Cloud-Plus through 6.0.0 contains an insecure direct object reference vulnerability that allows authenticated users to delete other users' social login bindings by supplying their socialId. Attackers can send DELETE /auth/unlock/{socialId}, which deletes sys_social rows by primary key without ownership checks, removing victims' OAuth tokens and blocking social login.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS