CVE-2026-9374

ŚrednieCVSS 6.3

Opublikowano: 24/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W systemie yangzongzhuan RuoYi-Vue do wersji 3.9.2 stwierdzono podatność w funkcji FileUploadUtils.upload w pliku /common/upload w komponencie Common Upload Endpoint. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Producent nie odpowiedział.

Ocena ryzyka

Atakujący może przesłać złośliwe pliki, takie jak skrypty, co może prowadzić do zdalnego wykonania kodu lub defacementu strony.

Rekomendacja

Ogranicz typy dozwolonych plików, implementuj walidację zawartości i stosuj mechanizmy antywirusowe dla przesyłanych plików.

Inne podatności w RuoYi-Vue

CVE-2026-76576Średnie
W RuoYi-Vue do wersji 3.9.2 występuje podatność path traversal w funkcji fileDownload/resourceDownload w CommonController.java. Manipulacja argumentem fileName/resource umożliwia zdalny atak, a exploit został opublikowany.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in yangzongzhuan RuoYi-Vue up to 3.9.2. Impacted is the function FileUploadUtils.upload of the file /common/upload of the component Common Upload Endpoint. Performing a manipulation results in unrestricted upload. The attack is possible to be carried out remotely. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS