CVE-2025-66916
KrytyczneStreszczenie
Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.
Ocena ryzyka
Ryzyko obejmuje możliwość odczytu i zapisu dowolnych plików na serwerze, co może prowadzić do naruszenia poufności danych, modyfikacji systemu lub dalszej eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację RuoYi-Vue-Plus do wersji nowszej niż 5.5.1 oraz wdrożenie filtrowania danych wejściowych w interfejsie check-node-expression.
Inne podatności w RuoYi-Vue-Plus
Zobacz wszystkie- CVE-2026-119647Średnie
RuoYi-Vue-Plus do wersji 6.0.0 zawiera podatność obejścia autoryzacji w metodzie SysUserServiceImpl.selectUserListByDept, która pozwala uwierzytelnionym użytkownikom czytać dane użytkowników innych działów. Użytkownicy posiadający uprawnienie system:user:list w roli ograniczonej do działu mogą wysłać żądanie GET /system/user/list/dept/{deptId} z dowolnym identyfikatorem działu, aby uzyskać nazwy użytkowników, pseudonimy, status konta, ostatni adres IP i czas logowania oraz uwagi.
- CVE-2026-110106Średnie
RuoYi-Vue-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId} z identyfikatorem powiązania ofiary, aby usunąć powiązania GitHub, WeChat lub Gitee oraz przechowywane tokeny OAuth, blokując logowanie społecznościowe.
- CVE-2026-88616Wysokie
Problem w RuoYi-Vue-Plus 6.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent FlwTaskController.java oraz elementy FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask.
- CVE-2026-58176Średnie
W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.
Oryginalny opis (angielski, źródło NVD)
The snailjob component in RuoYi-Vue-Plus versions 5.5.1 and earlier, interface /snail-job/workflow/check-node-expression can execute QLExpress expressions, but it does not filter user input, allowing attackers to use the File class to perform arbitrary file reading and writing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS