CVE-2026-110216
WysokieCVSS 7.1Streszczenie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na włączanie lub wyłączanie kont, ponieważ procedura updateUserStatus nie zawiera sprawdzenia @PreAuthorize. Atakujący mogą wysyłać żądania PATCH do /api/v1/users/{userId}/status, aby wyłączyć konta root lub administratora, blokując administratorów, lub ponownie włączyć konta wyłączone przez administratora.
Ocena ryzyka
Ryzyko obejmuje możliwość wyłączenia kont administratorów, co prowadzi do blokady dostępu do systemu, oraz możliwość przywracania kont, które zostały celowo wyłączone, co narusza kontrolę dostępu.
Rekomendacja
Zaleca się natychmiastową aktualizację youlai-boot do wersji z poprawką oraz dodanie odpowiednich kontroli autoryzacji do procedury updateUserStatus.
Inne podatności w youlai-boot
Zobacz wszystkie- CVE-2026-110215Wysokie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom przypisywać dowolne uprawnienia do menu i przycisków do ról poprzez PUT /api/v1/roles/{roleId}/menus. Użytkownicy o niskich uprawnieniach, tacy jak konto testowe GUEST, mogą przyznać wszystkie uprawnienia swojej roli, odświeżając pamięć podręczną uprawnień Redis, aby uzyskać dostęp równoważny administratorowi.
- CVE-2025-55469Krytyczne
Nieprawidłowa kontrola dostępu w youlai-boot v2.21.1 pozwala atakującym na eskalację uprawnień i dostęp do panelu administratora.
Oryginalny opis (angielski, źródło NVD)
youlai-boot through 2.21.1 contains a missing authorization vulnerability that allows any authenticated user to enable or disable accounts because the updateUserStatus handler lacks a @PreAuthorize check. Attackers can send PATCH requests to /api/v1/users/{userId}/status to disable root or admin accounts, locking administrators out, or re-enable accounts an administrator has disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS