Podatności yudao-cloud
3 znanych podatności CVE w yudao-cloud, przetłumaczonych i ocenionych.
- CVE-2026-58448Średnie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
- CVE-2026-9464Średnie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
- CVE-2025-10277Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto podatność w pliku /crm/receivable/submit. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Producent nie odpowiedział na zgłoszenie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS