CVE-2026-110215
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom przypisywać dowolne uprawnienia do menu i przycisków do ról poprzez PUT /api/v1/roles/{roleId}/menus. Użytkownicy o niskich uprawnieniach, tacy jak konto testowe GUEST, mogą przyznać wszystkie uprawnienia swojej roli, odświeżając pamięć podręczną uprawnień Redis, aby uzyskać dostęp równoważny administratorowi.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień przez użytkowników o niskich uprawnieniach, co może prowadzić do pełnej kontroli nad systemem i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację youlai-boot do wersji z poprawką oraz wdrożenie kontroli autoryzacji dla endpointu /api/v1/roles/{roleId}/menus.
Inne podatności w youlai-boot
Zobacz wszystkie- CVE-2025-55469Krytyczne
Nieprawidłowa kontrola dostępu w youlai-boot v2.21.1 pozwala atakującym na eskalację uprawnień i dostęp do panelu administratora.
- CVE-2026-110216Wysokie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na włączanie lub wyłączanie kont, ponieważ procedura updateUserStatus nie zawiera sprawdzenia @PreAuthorize. Atakujący mogą wysyłać żądania PATCH do /api/v1/users/{userId}/status, aby wyłączyć konta root lub administratora, blokując administratorów, lub ponownie włączyć konta wyłączone przez administratora.
- CVE-2026-7672Średnie
Wykryto podatność w youlai-boot do wersji 2.21.1 w funkcji getUserList pliku UserController.java (komponent Users Endpoint). Manipulacja argumentem order prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-66735Wysokie
youlai-boot w wersji V2.21.1 zawiera podatność Incorrect Access Control. Funkcja getRoleForm w SysRoleController.java nie wykonuje sprawdzenia uprawnień, co może pozwolić użytkownikom niebędącym root na bezpośredni dostęp do ról root.
Oryginalny opis (angielski, źródło NVD)
youlai-boot through 2.21.1 contains a missing authorization vulnerability that allows authenticated users to assign arbitrary menu and button permissions to roles via PUT /api/v1/roles/{roleId}/menus. Low-privileged users such as the GUEST test account can grant all permissions to their own role, refreshing the Redis permission cache to gain administrator-equivalent access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS