CVE-2026-119647
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
RuoYi-Vue-Plus do wersji 6.0.0 zawiera podatność obejścia autoryzacji w metodzie SysUserServiceImpl.selectUserListByDept, która pozwala uwierzytelnionym użytkownikom czytać dane użytkowników innych działów. Użytkownicy posiadający uprawnienie system:user:list w roli ograniczonej do działu mogą wysłać żądanie GET /system/user/list/dept/{deptId} z dowolnym identyfikatorem działu, aby uzyskać nazwy użytkowników, pseudonimy, status konta, ostatni adres IP i czas logowania oraz uwagi.
Ocena ryzyka
Uwierzytelniony użytkownik z ograniczonymi uprawnieniami może uzyskać dane osobowe i informacje o kontach użytkowników spoza swojego działu, co narusza zasadę minimalnych uprawnień i może ułatwić dalsze ataki socjotechniczne lub przejęcie kont.
Rekomendacja
Zaktualizuj RuoYi-Vue-Plus do wersji nowszej niż 6.0.0, a do czasu aktualizacji ogranicz dostęp do endpointu /system/user/list/dept/{deptId} i zweryfikuj, czy kontrola dostępu do działów jest wymuszana po stronie serwera.
Inne podatności w RuoYi-Vue-Plus
Zobacz wszystkie- CVE-2025-66916Krytyczne
Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.
- CVE-2026-110106Średnie
RuoYi-Vue-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId} z identyfikatorem powiązania ofiary, aby usunąć powiązania GitHub, WeChat lub Gitee oraz przechowywane tokeny OAuth, blokując logowanie społecznościowe.
- CVE-2026-88616Wysokie
Problem w RuoYi-Vue-Plus 6.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent FlwTaskController.java oraz elementy FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask.
- CVE-2026-58176Średnie
W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.
Oryginalny opis (angielski, źródło NVD)
RuoYi-Vue-Plus through 6.0.0 contains an authorization bypass vulnerability in SysUserServiceImpl.selectUserListByDept that allows authenticated users to read users of other departments. Users holding system:user:list under a department-restricted role can request GET /system/user/list/dept/{deptId} with any department id to obtain usernames, nicknames, account status, last login IP and time, and remarks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS