CVE-2026-108803
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wykryto podatność w y_project RuoYi do wersji 4.8.3. Dotyczy funkcji changeStatus w pliku /system/config/add komponentu Disable API. Manipulacja prowadzi do wygaśnięcia sesji. Atak może być przeprowadzony zdalnie. Sprzedawca został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Atakujący może spowodować wygaśnięcie sesji użytkownika, co prowadzi do przerwania pracy i potencjalnego blokowania dostępu. Ryzyko dotyczy dostępności systemu.
Rekomendacja
Zaktualizuj RuoYi do najnowszej dostępnej wersji, jeśli jest dostępna. Ogranicz dostęp do funkcji administracyjnych i monitoruj logi pod kątem nietypowych żądań.
Inne podatności w RuoYi
Zobacz wszystkie- CVE-2025-70986Wysokie
Nieprawidłowa kontrola dostępu w funkcji selectDept w RuoYi v4.8.2 umożliwia nieautoryzowanym atakującym dowolny dostęp do wrażliwych danych departamentów.
- CVE-2026-38812Krytyczne
RuoYi w wersji 4.8.2 jest podatny na atak typu SQL Injection poprzez punkt końcowy /tool/gen/createTable. Problem dotyczy modułu generowania kodu i może umożliwić uwierzytelnionemu atakującemu z uprawnieniami administratora dostęp do wrażliwych informacji w bazie danych.
- CVE-2025-70985Krytyczne
Nieprawidłowa kontrola dostępu w funkcji aktualizacji RuoYi v4.8.2 pozwala nieautoryzowanym atakującym na dowolną modyfikację danych poza ich zakresem.
- CVE-2024-57521Krytyczne
Podatność SQL Injection w RuoYi w wersji 4.7.9 i wcześniejszych pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcję createTable w pliku SqlUtil.java.
- CVE-2026-108825Średnie
W systemie RuoYi do wersji 4.8.3 wykryto podatność w funkcji checkRoleAllowed pliku /system/role/authDataScope. Manipulacja argumentem roleKey prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108800Średnie
Podatność w RuoYi 4.8.3 polega na nieznanej funkcji, która umożliwia atak typu cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie.
- CVE-2026-37216Średnie
Ruoyi w wersji 4.8.2 jest podatny na atak Cross Site Scripting (XSS) w interfejsie /system/notice/add.
- CVE-2025-67342Średnie
RuoYi w wersjach 4.8.1 i wcześniejszych zawiera lukę stored XSS w punkcie końcowym /system/menu/edit. Mimo że punkt końcowy jest chroniony filtrem XSS, ochronę można obejść, a ponieważ menu jest współdzielone przez wszystkich użytkowników, każdy użytkownik z uprawnieniami do modyfikacji menu może wpłynąć na wszystkich użytkowników.
- CVE-2025-46175Wysokie
W systemie Ruoyi w wersji 4.8.0 występuje podatność nieprawidłowej kontroli dostępu. W metodzie authRole klasy SysUserController.java brakuje sprawdzenia uprawnień checkUserDataScope. Może to umożliwić nieuprawniony dostęp do operacji związanych z rolami użytkowników.
- CVE-2025-10989Średnie
W systemie yangzongzhuan RuoYi do wersji 4.8.1 odkryto podatność w pliku /system/role/authUser/selectAll. Manipulacja argumentem userIds prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in y_project RuoYi up to 4.8.3. This impacts the function changeStatus of the file /system/config/add of the component Disable API. The manipulation leads to session expiration. It is possible to initiate the attack remotely. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS