CVE-2026-108800
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w RuoYi 4.8.3 polega na nieznanej funkcji, która umożliwia atak typu cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Zdalny atakujący może wykorzystać CSRF do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zaktualizuj RuoYi do najnowszej wersji lub zastosuj mechanizmy ochrony przed CSRF, takie jak tokeny CSRF.
Inne podatności w RuoYi
Zobacz wszystkie- CVE-2025-70986Wysokie
Nieprawidłowa kontrola dostępu w funkcji selectDept w RuoYi v4.8.2 umożliwia nieautoryzowanym atakującym dowolny dostęp do wrażliwych danych departamentów.
- CVE-2026-38812Krytyczne
RuoYi w wersji 4.8.2 jest podatny na atak typu SQL Injection poprzez punkt końcowy /tool/gen/createTable. Problem dotyczy modułu generowania kodu i może umożliwić uwierzytelnionemu atakującemu z uprawnieniami administratora dostęp do wrażliwych informacji w bazie danych.
- CVE-2025-70985Krytyczne
Nieprawidłowa kontrola dostępu w funkcji aktualizacji RuoYi v4.8.2 pozwala nieautoryzowanym atakującym na dowolną modyfikację danych poza ich zakresem.
- CVE-2024-57521Krytyczne
Podatność SQL Injection w RuoYi w wersji 4.7.9 i wcześniejszych pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcję createTable w pliku SqlUtil.java.
- CVE-2026-108825Średnie
W systemie RuoYi do wersji 4.8.3 wykryto podatność w funkcji checkRoleAllowed pliku /system/role/authDataScope. Manipulacja argumentem roleKey prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108803Średnie
Wykryto podatność w y_project RuoYi do wersji 4.8.3. Dotyczy funkcji changeStatus w pliku /system/config/add komponentu Disable API. Manipulacja prowadzi do wygaśnięcia sesji. Atak może być przeprowadzony zdalnie. Sprzedawca został poinformowany, ale nie odpowiedział.
- CVE-2026-37216Średnie
Ruoyi w wersji 4.8.2 jest podatny na atak Cross Site Scripting (XSS) w interfejsie /system/notice/add.
- CVE-2025-67342Średnie
RuoYi w wersjach 4.8.1 i wcześniejszych zawiera lukę stored XSS w punkcie końcowym /system/menu/edit. Mimo że punkt końcowy jest chroniony filtrem XSS, ochronę można obejść, a ponieważ menu jest współdzielone przez wszystkich użytkowników, każdy użytkownik z uprawnieniami do modyfikacji menu może wpłynąć na wszystkich użytkowników.
- CVE-2025-46175Wysokie
W systemie Ruoyi w wersji 4.8.0 występuje podatność nieprawidłowej kontroli dostępu. W metodzie authRole klasy SysUserController.java brakuje sprawdzenia uprawnień checkUserDataScope. Może to umożliwić nieuprawniony dostęp do operacji związanych z rolami użytkowników.
- CVE-2025-10989Średnie
W systemie yangzongzhuan RuoYi do wersji 4.8.1 odkryto podatność w pliku /system/role/authUser/selectAll. Manipulacja argumentem userIds prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in yangzongzhuan RuoYi 4.8.3. The affected element is an unknown function. Such manipulation leads to cross-site request forgery. The attack can be executed remotely. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS