CVE-2026-88616
NieznaneStreszczenie
Problem w RuoYi-Vue-Plus 6.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent FlwTaskController.java oraz elementy FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub dalszej eksploatacji w sieci wewnętrznej. Jest to podatność o krytycznym wpływie.
Rekomendacja
Zaktualizuj RuoYi-Vue-Plus do wersji, która naprawia tę podatność, lub wdróż poprawne uwierzytelnianie i autoryzację w punkcie końcowym /workflow/task/completeTask. Rozważ tymczasowe ograniczenie dostępu do tego punktu końcowego.
Inne podatności w RuoYi-Vue-Plus
Zobacz wszystkie- CVE-2025-66916Krytyczne
Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.
- CVE-2026-58176Średnie
W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.
Oryginalny opis (angielski, źródło NVD)
An issue in RuoYi-Vue-Plus 6.0.0 allows a remote attacker to execute arbitrary code via the FlwTaskController.java component, and the FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask components