CVE-2025-10275
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W YunaiV yudao-cloud do wersji 2025.09 zidentyfikowano słabość w pliku /crm/business/transfer polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentami ids/newOwnerUserId. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Nieprawidłowa autoryzacja może pozwolić atakującemu na transfer rekordów biznesowych CRM bez wymaganych uprawnień.
Rekomendacja
Zaktualizuj yudao-cloud do najnowszej wersji i zweryfikuj, że usługa transferu odrzuca operacje wykonywane przez osoby niebędące właścicielem ani autoryzowanym administratorem CRM.
Inne podatności w yudao-cloud
Zobacz wszystkie- CVE-2026-116016Wysokie
yudao-cloud do wersji 2026.09 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych na poziomie wiersza poprzez wysłanie nagłówka data-permission-enable ustawionego na false. Atakujący mogą dodać ten nagłówek do żądań /admin-api, któremu ufa DataPermissionRpcWebFilter, aby czytać lub modyfikować rekordy innych działów i użytkowników w ramach tej samej dzierżawy.
- CVE-2026-116015Średnie
yudao-cloud do wersji 2026.09 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w module handlowym mall, która pozwala uwierzytelnionym członkom czytać dzienniki operacji posprzedażowych innych członków poprzez podanie dowolnych wartości afterSaleId. Atakujący mogą wyliczać sekwencyjne identyfikatory posprzedażowe wobec GET /app-api/trade/after-sale-log/list, aby ujawnić kwoty zwrotów, zmiany statusów i znaczniki czasu należące do innych członków.
- CVE-2026-58448Średnie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
- CVE-2026-9464Średnie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
- CVE-2026-7710Wysokie
W YunaiV yudao-cloud do wersji 3.8.0 wykryto lukę w funkcji doFilterInternal w pliku JwtAuthenticationTokenFilter.java komponentu Ruoyi-Vue-Pro. Manipulacja argumentem mock-token prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
- CVE-2026-7679Wysokie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getAccessToken w pliku OAuth2TokenServiceImpl.java. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
- CVE-2026-7678Średnie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getDataBySQL pliku GoViewDataServiceImpl.java polegającą na wstrzyknięciu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie oznacza tego elementu jako załatanego.
- CVE-2026-5147Wysokie
W YunaiV yudao-cloud do wersji 2026.01 w pliku /admin-api/system/tenant/get-by-website manipulacja argumentem Website prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2025-15098Średnie
W YunaiV yudao-cloud do wersji 2025.11 wykryto lukę w funkcjach BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger komponentu Business Process Management. Manipulacja argumentami url/header/body może prowadzić do server-side request forgery (SSRF). Atak można wykonać zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-10987Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/contact/transfer (komponent HTTP Request Handler) polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem contactId. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in YunaiV yudao-cloud up to 2025.09. This affects an unknown part of the file /crm/business/transfer. Executing a manipulation of the argument ids/newOwnerUserId can lead to improper authorization. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. It is recommended to upgrade the affected component. The vendor confirms: "[T]he current code already checks the functional update permission, uses the authenticated server-side user ID, requires CRM OWNER permission, and explicitly rejects non-owner transfers in the shared transfer service, except for authorized CRM administrators."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS