CVE-2026-122016
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W yangzongzhuan RuoYi-Vue do wersji 3.9.2 funkcja SysPermissionService.getMenuPermission w pliku SysPermissionService.java komponentu Permission Service pozwala na manipulację argumentem perms prowadzącą do niewłaściwego zarządzania uprawnieniami. Atak można zainicjować zdalnie; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Może umożliwić eskalację uprawnień i nieautoryzowany dostęp do funkcji administracyjnych, co stanowi poważne zagrożenie dla systemu.
Rekomendacja
Ogranicz dostęp do interfejsów administracyjnych i wdróż walidację argumentu perms po stronie serwera, ponieważ producent nie wydał poprawki.
Inne podatności w RuoYi-Vue
Zobacz wszystkie- CVE-2026-76576Średnie
W RuoYi-Vue do wersji 3.9.2 występuje podatność path traversal w funkcji fileDownload/resourceDownload w CommonController.java. Manipulacja argumentem fileName/resource umożliwia zdalny atak, a exploit został opublikowany.
- CVE-2026-9374Średnie
W systemie yangzongzhuan RuoYi-Vue do wersji 3.9.2 stwierdzono podatność w funkcji FileUploadUtils.upload w pliku /common/upload w komponencie Common Upload Endpoint. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Producent nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in yangzongzhuan RuoYi-Vue up to 3.9.2. This issue affects the function SysPermissionService.getMenuPermission of the file SysPermissionService.java of the component Permission Service. This manipulation of the argument perms causes improper privilege management. The attack may be initiated remotely. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS