CVE-2026-58448
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych procesowych, w tym danych osobowych i biznesowych, co może prowadzić do naruszenia przepisów o ochronie danych oraz utraty zaufania klientów.
Rekomendacja
Należy natychmiast zaktualizować yudao-cloud do wersji 2026.06 lub nowszej oraz dodać adnotację @PreAuthorize do punktu końcowego GET w module BPM, aby wymusić weryfikację uprawnień i własności instancji procesu.
Inne podatności w yudao-cloud
Zobacz wszystkie- CVE-2026-9464Średnie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
- CVE-2025-10277Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto podatność w pliku /crm/receivable/submit. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
yudao-cloud before 2026.06 contains a broken access control vulnerability in the BPM module that allows any authenticated user to access arbitrary process instance records by supplying a caller-controlled process-instance identifier to an unprotected endpoint lacking the @PreAuthorize annotation. Attackers can query any process-instance identifier through the unguarded GET endpoint to read sensitive workflow data including submitted form variables, approver identities, approval and rejection comments, and process BPMN XML without ownership or tenant party verification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS