CVE-2026-9464
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
Ocena ryzyka
Ryzyko wykorzystania serwera do ataków na wewnętrzne zasoby sieciowe, kradzieży danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj oprogramowanie do najnowszej wersji. Jeśli nie jest dostępna, tymczasowo wyłącz endpoint lub zastosuj reguły WAF blokujące podejrzane żądania.
Inne podatności w yudao-cloud
Zobacz wszystkie- CVE-2026-58448Średnie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
- CVE-2025-10277Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto podatność w pliku /crm/receivable/submit. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in YunaiV yudao-cloud 2026.03. This affects the function IotDataSinkHttpConfig of the file /admin-api/iot/data-sink/create of the component Admin API Endpoint. Such manipulation leads to server-side request forgery. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS