CVE-2026-97322
ŚrednieCVSS 4.3Streszczenie
W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w komponencie File Upload, w pliku FileController.java. Manipulacja danymi wejściowymi prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność XSS w mechanizmie przesyłania plików może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, co grozi kradzieżą sesji lub danych. Ponieważ exploit jest publiczny, ryzyko wykorzystania jest wysokie.
Rekomendacja
Zaktualizuj ruoyi-vue-pro do wersji nowszej niż 2026.08, jeśli jest dostępna, lub zastosuj poprawki dostawcy. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji przesyłania plików i wdrożenie walidacji danych wejściowych.
Inne podatności w ruoyi-vue-pro
Zobacz wszystkie- CVE-2026-97325Średnie
W systemie ruoyi-vue-pro do wersji 2026.08 wykryto lukę w funkcji validOAuthClientFromCache w pliku OAuth2ClientServiceImpl.java. Manipulacja argumentem redirect_uri prowadzi do otwartego przekierowania. Exploit jest publicznie dostępny, a producent nie odpowiedział.
- CVE-2026-97324Wysokie
W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w funkcji updateDemoOrderPaid w kontrolerze PayDemoOrderController. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-97323Średnie
W systemie ruoyi-vue-pro do wersji 2026.08 wykryto lukę w funkcji getOriginalFilename w pliku MpMaterialServiceImpl.java w komponencie File Upload. Manipulacja prowadzi do path traversal. Exploit jest publicznie dostępny, a producent nie odpowiedział.
- CVE-2026-97321Średnie
W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w komponencie GoView Data Endpoint, w funkcji GoViewDataServiceImpl.getDataBySQL. Manipulacja argumentem sql prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97320Średnie
W projekcie ruoyi-vue-pro (YunaiV/zhijiantianya) do wersji 2026.08 wykryto podatność w komponencie AI Knowledge Module, w funkcji AiKnowledgeDocumentServiceImpl.readUrl. Manipulacja argumentem url prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-57950Wysokie
Podatność w ruoyi-vue-pro do wersji 2026.05 (załatana w commicie 5d1fd70) polega na błędnym egzekwowaniu przestrzeni nazw uprawnień w kontrolerze ErpSaleOrderController. Atakujący z uprawnieniami erp:sale-out mogą uzyskać nieautoryzowany dostęp do operacji na zamówieniach sprzedaży, wykonując nieuprawnione tworzenie, aktualizację, usuwanie i odczyt wrażliwych finansowo zamówień.
- CVE-2026-57949Średnie
Podatność w module CRM systemu ruoyi-vue-pro (do wersji 2026.05, naprawiona w commicie c779a47) polega na braku autoryzacji w punkcie końcowym GET /admin-api/crm/follow-up-record/get. Uwierzytelniony użytkownik może odczytać dowolny rekord follow-up, iterując sekwencyjne identyfikatory numeryczne.
- CVE-2026-13528Wysokie
W komponencie ruoyi-vue-pro do wersji 2026.04-jdk8-SNAPSHOT wykryto podatność na przejście ścieżki (path traversal) w funkcji generateUploadPath pliku FileServiceImpl.java. Atakujący może zdalnie manipulować ścieżką pliku, co umożliwia dostęp do nieautoryzowanych zasobów.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in YunaiV/zhijiantianya ruoyi-vue-pro up to 2026.08. This affects an unknown function of the file yudao-module-infra/src/main/java/cn/iocoder/yudao/module/infra/controller/admin/file/FileController.java of the component File Upload. Performing a manipulation results in cross site scripting. It is possible to initiate the attack remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS