CVE-2025-55469

youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na włączanie lub wyłączanie kont, ponieważ procedura updateUserStatus nie zawiera sprawdzenia @PreAuthorize. Atakujący mogą wysyłać żądania PATCH do /api/v1/users/{userId}/status, aby wyłączyć konta root lub administratora, blokując administratorów, lub ponownie włączyć konta wyłączone przez administratora.

youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom przypisywać dowolne uprawnienia do menu i przycisków do ról poprzez PUT /api/v1/roles/{roleId}/menus. Użytkownicy o niskich uprawnieniach, tacy jak konto testowe GUEST, mogą przyznać wszystkie uprawnienia swojej roli, odświeżając pamięć podręczną uprawnień Redis, aby uzyskać dostęp równoważny administratorowi.

Wykryto podatność w youlai-boot do wersji 2.21.1 w funkcji getUserList pliku UserController.java (komponent Users Endpoint). Manipulacja argumentem order prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.

youlai-boot w wersji V2.21.1 zawiera podatność Incorrect Access Control. Funkcja getRoleForm w SysRoleController.java nie wykonuje sprawdzenia uprawnień, co może pozwolić użytkownikom niebędącym root na bezpośredni dostęp do ról root.