CVE-2026-5529

lamp-cloud do wersji 5.10.0 nie waliduje parametru employeeId w punkcie końcowym /anyone/visible/resource, co pozwala uwierzytelnionym użytkownikom odczytywać role i uprawnienia dowolnego pracownika. Atakujący mogą podawać dowolne wartości employeeId, aby wyliczyć kody ról, kody uprawnień i pełne drzewa routerów front-end innych pracowników bez kontroli autoryzacji.

lamp-cloud do wersji 5.10.0 zawiera podatność na obejście autoryzacji w punkcie końcowym deleteMyNotice, która pozwala uwierzytelnionym użytkownikom na usuwanie powiadomień innych użytkowników. Atakujący mogą wywołać żądanie DELETE /anyone/extendNotice/deleteMyNotice z dowolnymi identyfikatorami powiadomień, aby trwale usunąć powiadomienia należące do innych użytkowników bez weryfikacji odbiorcy.

lamp-cloud do wersji 5.10.0 nie weryfikuje tożsamości użytkownika w punktach końcowych PUT /anyone/baseInfo i PUT /anyone/avatar, co pozwala uwierzytelnionym atakującym na modyfikację profili dowolnych użytkowników. Atakujący mogą podać identyfikatory docelowych użytkowników w treści żądania, aby przepisać pola profilu, w tym pseudonim, dowód osobisty, płeć, narodowość, wykształcenie, opis pracy i załączniki awatara innych użytkowników.

lamp-cloud do wersji 5.10.0 zawiera podatność na obejście autoryzacji w FileAnyoneController, która pozwala uwierzytelnionym użytkownikom pobierać dowolne załączniki. Atakujący mogą uzyskać dostęp do plików innych użytkowników, podając prawidłowe identyfikatory załączników do punktów końcowych /anyone/file/down i /anyone/file/download, ponieważ aplikacja nigdy nie weryfikuje własności pliku względem kolumny created_by.

lamp-cloud do wersji 5.10.0 zawiera podatność na obejście autoryzacji w punkcie końcowym getUserInfoById, która pozwala uwierzytelnionym użytkownikom odczytywać pełne profile innych użytkowników. Atakujący mogą iterować parametr userId, aby zbierać wrażliwe informacje, takie jak numery telefonów, adresy e-mail, numery dowodów osobistych oraz OpenID z WeChat i DingTalk.

lamp-cloud do wersji 5.10.0 zezwala na anonimowy dostęp do wzorca ścieżki /*/anno/**, co pozwala nieuwierzytelnionym atakującym odczytać pełną mapę właściwości systemowych JVM serwera. Atakujący mogą wysyłać żądania POST do /defGenProject/anno/getProperties, aby uzyskać wrażliwe informacje, takie jak classpath JVM, ścieżki systemu plików, szczegóły systemu operacyjnego i sekrety startowe.

Podatność w lamp-cloud do wersji 5.10.0 dotyczy nieznanej części pliku DefGenProjectController.java w komponencie Code Generator. Manipulacja argumentami outputDir/parent/projectPrefix prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W projekcie Dromara lamp-cloud do wersji 5.6.2 wykryto podatność na iniekcję szablonu w komponencie Message Template Handler. Funkcja GroovyClassLoader.parseClass nie neutralizuje specjalnych elementów w argumencie DefMsgTemplate.content, co pozwala na zdalne wykonanie kodu. Exploit jest publicznie dostępny.