CVE-2026-37216
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Ruoyi w wersji 4.8.2 jest podatny na atak Cross Site Scripting (XSS) w interfejsie /system/notice/add.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzykiwania złośliwego kodu JavaScript, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Ruoyi, aby usunąć tę podatność oraz wdrożenie odpowiednich filtrów wejściowych.
Inne podatności w Ruoyi 4.8.2
Zobacz wszystkie- CVE-2026-108825Średnie
W systemie RuoYi do wersji 4.8.3 wykryto podatność w funkcji checkRoleAllowed pliku /system/role/authDataScope. Manipulacja argumentem roleKey prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-70986Wysokie
Nieprawidłowa kontrola dostępu w funkcji selectDept w RuoYi v4.8.2 umożliwia nieautoryzowanym atakującym dowolny dostęp do wrażliwych danych departamentów.
- CVE-2026-38812Krytyczne
RuoYi w wersji 4.8.2 jest podatny na atak typu SQL Injection poprzez punkt końcowy /tool/gen/createTable. Problem dotyczy modułu generowania kodu i może umożliwić uwierzytelnionemu atakującemu z uprawnieniami administratora dostęp do wrażliwych informacji w bazie danych.
- CVE-2025-70985Krytyczne
Nieprawidłowa kontrola dostępu w funkcji aktualizacji RuoYi v4.8.2 pozwala nieautoryzowanym atakującym na dowolną modyfikację danych poza ich zakresem.
- CVE-2026-108803Średnie
Wykryto podatność w y_project RuoYi do wersji 4.8.3. Dotyczy funkcji changeStatus w pliku /system/config/add komponentu Disable API. Manipulacja prowadzi do wygaśnięcia sesji. Atak może być przeprowadzony zdalnie. Sprzedawca został poinformowany, ale nie odpowiedział.
- CVE-2026-108800Średnie
Podatność w RuoYi 4.8.3 polega na nieznanej funkcji, która umożliwia atak typu cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie.
- CVE-2025-10989Średnie
W systemie yangzongzhuan RuoYi do wersji 4.8.1 odkryto podatność w pliku /system/role/authUser/selectAll. Manipulacja argumentem userIds prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Ruoyi 4.8.2 is vulnerable to Cross Site Scripting (XSS) at the interface /system/notice/add.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS