CVE-2026-110215
WysokieCVSS 8.8Streszczenie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom przypisywać dowolne uprawnienia do menu i przycisków do ról poprzez PUT /api/v1/roles/{roleId}/menus. Użytkownicy o niskich uprawnieniach, tacy jak konto testowe GUEST, mogą przyznać wszystkie uprawnienia swojej roli, odświeżając pamięć podręczną uprawnień Redis, aby uzyskać dostęp równoważny administratorowi.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień przez użytkowników o niskich uprawnieniach, co może prowadzić do pełnej kontroli nad systemem i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację youlai-boot do wersji z poprawką oraz wdrożenie kontroli autoryzacji dla endpointu /api/v1/roles/{roleId}/menus.
Inne podatności w youlai-boot
Zobacz wszystkie- CVE-2026-110216Wysokie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na włączanie lub wyłączanie kont, ponieważ procedura updateUserStatus nie zawiera sprawdzenia @PreAuthorize. Atakujący mogą wysyłać żądania PATCH do /api/v1/users/{userId}/status, aby wyłączyć konta root lub administratora, blokując administratorów, lub ponownie włączyć konta wyłączone przez administratora.
- CVE-2025-55469Krytyczne
Nieprawidłowa kontrola dostępu w youlai-boot v2.21.1 pozwala atakującym na eskalację uprawnień i dostęp do panelu administratora.
Oryginalny opis (angielski, źródło NVD)
youlai-boot through 2.21.1 contains a missing authorization vulnerability that allows authenticated users to assign arbitrary menu and button permissions to roles via PUT /api/v1/roles/{roleId}/menus. Low-privileged users such as the GUEST test account can grant all permissions to their own role, refreshing the Redis permission cache to gain administrator-equivalent access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS