CVE-2025-46175
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W systemie Ruoyi w wersji 4.8.0 występuje podatność nieprawidłowej kontroli dostępu. W metodzie authRole klasy SysUserController.java brakuje sprawdzenia uprawnień checkUserDataScope. Może to umożliwić nieuprawniony dostęp do operacji związanych z rolami użytkowników.
Ocena ryzyka
Atakujący może obejść kontrolę zakresu danych użytkownika i wykonywać operacje na rolach, do których nie powinien mieć uprawnień. Może to prowadzić do eskalacji uprawnień lub nieautoryzowanych zmian w systemie.
Rekomendacja
Zaktualizuj Ruoyi do wersji zawierającej poprawkę lub wdróż brakujące sprawdzenie checkUserDataScope w metodzie authRole. Do czasu naprawy rozważ ograniczenie dostępu do funkcji zarządzania rolami.
Inne podatności w Ruoyi
Zobacz wszystkie- CVE-2025-70986Wysokie
Nieprawidłowa kontrola dostępu w funkcji selectDept w RuoYi v4.8.2 umożliwia nieautoryzowanym atakującym dowolny dostęp do wrażliwych danych departamentów.
- CVE-2026-38812Krytyczne
RuoYi w wersji 4.8.2 jest podatny na atak typu SQL Injection poprzez punkt końcowy /tool/gen/createTable. Problem dotyczy modułu generowania kodu i może umożliwić uwierzytelnionemu atakującemu z uprawnieniami administratora dostęp do wrażliwych informacji w bazie danych.
- CVE-2025-70985Krytyczne
Nieprawidłowa kontrola dostępu w funkcji aktualizacji RuoYi v4.8.2 pozwala nieautoryzowanym atakującym na dowolną modyfikację danych poza ich zakresem.
- CVE-2024-57521Krytyczne
Podatność SQL Injection w RuoYi w wersji 4.7.9 i wcześniejszych pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcję createTable w pliku SqlUtil.java.
- CVE-2026-108825Średnie
W systemie RuoYi do wersji 4.8.3 wykryto podatność w funkcji checkRoleAllowed pliku /system/role/authDataScope. Manipulacja argumentem roleKey prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108803Średnie
Wykryto podatność w y_project RuoYi do wersji 4.8.3. Dotyczy funkcji changeStatus w pliku /system/config/add komponentu Disable API. Manipulacja prowadzi do wygaśnięcia sesji. Atak może być przeprowadzony zdalnie. Sprzedawca został poinformowany, ale nie odpowiedział.
- CVE-2026-108800Średnie
Podatność w RuoYi 4.8.3 polega na nieznanej funkcji, która umożliwia atak typu cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie.
- CVE-2026-37216Średnie
Ruoyi w wersji 4.8.2 jest podatny na atak Cross Site Scripting (XSS) w interfejsie /system/notice/add.
- CVE-2025-67342Średnie
RuoYi w wersjach 4.8.1 i wcześniejszych zawiera lukę stored XSS w punkcie końcowym /system/menu/edit. Mimo że punkt końcowy jest chroniony filtrem XSS, ochronę można obejść, a ponieważ menu jest współdzielone przez wszystkich użytkowników, każdy użytkownik z uprawnieniami do modyfikacji menu może wpłynąć na wszystkich użytkowników.
- CVE-2025-10989Średnie
W systemie yangzongzhuan RuoYi do wersji 4.8.1 odkryto podatność w pliku /system/role/authUser/selectAll. Manipulacja argumentem userIds prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Ruoyi v4.8.0 is vulnerable to Incorrect Access Control. There is a missing checkUserDataScope permission check in the authRole method of SysUserController.java.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS