CVE-2026-110216
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na włączanie lub wyłączanie kont, ponieważ procedura updateUserStatus nie zawiera sprawdzenia @PreAuthorize. Atakujący mogą wysyłać żądania PATCH do /api/v1/users/{userId}/status, aby wyłączyć konta root lub administratora, blokując administratorów, lub ponownie włączyć konta wyłączone przez administratora.
Ocena ryzyka
Ryzyko obejmuje możliwość wyłączenia kont administratorów, co prowadzi do blokady dostępu do systemu, oraz możliwość przywracania kont, które zostały celowo wyłączone, co narusza kontrolę dostępu.
Rekomendacja
Zaleca się natychmiastową aktualizację youlai-boot do wersji z poprawką oraz dodanie odpowiednich kontroli autoryzacji do procedury updateUserStatus.
Inne podatności w youlai-boot
Zobacz wszystkie- CVE-2025-55469Krytyczne
Nieprawidłowa kontrola dostępu w youlai-boot v2.21.1 pozwala atakującym na eskalację uprawnień i dostęp do panelu administratora.
- CVE-2026-110215Wysokie
youlai-boot do wersji 2.21.1 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom przypisywać dowolne uprawnienia do menu i przycisków do ról poprzez PUT /api/v1/roles/{roleId}/menus. Użytkownicy o niskich uprawnieniach, tacy jak konto testowe GUEST, mogą przyznać wszystkie uprawnienia swojej roli, odświeżając pamięć podręczną uprawnień Redis, aby uzyskać dostęp równoważny administratorowi.
- CVE-2026-7672Średnie
Wykryto podatność w youlai-boot do wersji 2.21.1 w funkcji getUserList pliku UserController.java (komponent Users Endpoint). Manipulacja argumentem order prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-66735Wysokie
youlai-boot w wersji V2.21.1 zawiera podatność Incorrect Access Control. Funkcja getRoleForm w SysRoleController.java nie wykonuje sprawdzenia uprawnień, co może pozwolić użytkownikom niebędącym root na bezpośredni dostęp do ról root.
Oryginalny opis (angielski, źródło NVD)
youlai-boot through 2.21.1 contains a missing authorization vulnerability that allows any authenticated user to enable or disable accounts because the updateUserStatus handler lacks a @PreAuthorize check. Attackers can send PATCH requests to /api/v1/users/{userId}/status to disable root or admin accounts, locking administrators out, or re-enable accounts an administrator has disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS