CVE-2026-38812
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
RuoYi w wersji 4.8.2 jest podatny na atak typu SQL Injection poprzez punkt końcowy /tool/gen/createTable. Problem dotyczy modułu generowania kodu i może umożliwić uwierzytelnionemu atakującemu z uprawnieniami administratora dostęp do wrażliwych informacji w bazie danych.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać dostęp do poufnych danych w bazie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji RuoYi oraz wprowadzenie dodatkowych zabezpieczeń, aby ograniczyć dostęp do punktu końcowego /tool/gen/createTable.
Inne podatności w RuoYi v4.8.2
Zobacz wszystkie- CVE-2025-70986Wysokie
Nieprawidłowa kontrola dostępu w funkcji selectDept w RuoYi v4.8.2 umożliwia nieautoryzowanym atakującym dowolny dostęp do wrażliwych danych departamentów.
- CVE-2025-70985Krytyczne
Nieprawidłowa kontrola dostępu w funkcji aktualizacji RuoYi v4.8.2 pozwala nieautoryzowanym atakującym na dowolną modyfikację danych poza ich zakresem.
- CVE-2026-37216Średnie
Ruoyi w wersji 4.8.2 jest podatny na atak Cross Site Scripting (XSS) w interfejsie /system/notice/add.
Oryginalny opis (angielski, źródło NVD)
RuoYi v4.8.2 is vulnerable to SQL Injection via the /tool/gen/createTable endpoint. The issue affects the code generation module and may allow an authenticated attacker with administrative privileges to access sensitive database information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS