CVE-2026-71807

ŚrednieCVSS 4.3

Opublikowano: 09/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 10/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W RuoYi-Cloud-Plus do wersji 2.6.2 w module ruoyi-workflow, wiele kluczowych API zadań w FlwTaskController nie ma adnotacji uprawnień, a warstwa serwisowa nie weryfikuje, czy bieżący użytkownik jest wykonawcą zadania lub powiązanym użytkownikiem. Zdalni atakujący z niskimi uprawnieniami mogą odczytywać wrażliwe szczegóły zadań przepływu pracy i wywoływać nieautoryzowane wykonania przepływów pracy.

Ocena ryzyka

Ujawnienie wrażliwych informacji o zadaniach oraz możliwość nieautoryzowanego uruchamiania procesów biznesowych może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Zaktualizuj RuoYi-Cloud-Plus do najnowszej wersji, w której dodano odpowiednie kontrole uprawnień i weryfikację właściciela zadania.

Inne podatności w RuoYi-Cloud-Plus

CVE-2026-110107Średnie
RuoYi-Cloud-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId}, które usuwa wiersze sys_social na podstawie klucza głównego bez weryfikacji własności, usuwając tokeny OAuth ofiary i blokując logowanie społecznościowe.

Oryginalny opis (angielski, źródło NVD)

In RuoYi-Cloud-Plus <= 2.6.2 in the ruoyi-workflow module, multiple core task APIs in FlwTaskController lack permission annotations, and the Service layer does not verify whether the current user is the task handler/related user. Authenticated low-privileged remote attackers can read sensitive workflow task details (/task/getTask/{taskId}) and trigger unauthorized workflow executions (/task/startWorkFlow).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS