CVE-2026-13528
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 — wyżej niż 36% wszystkich znanych CVE
Streszczenie
W komponencie ruoyi-vue-pro do wersji 2026.04-jdk8-SNAPSHOT wykryto podatność na przejście ścieżki (path traversal) w funkcji generateUploadPath pliku FileServiceImpl.java. Atakujący może zdalnie manipulować ścieżką pliku, co umożliwia dostęp do nieautoryzowanych zasobów.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego odczytu lub zapisu plików poza zamierzonym katalogiem, co może prowadzić do wycieku danych lub przejęcia kontroli nad serwerem.
Rekomendacja
Należy niezwłocznie zastosować patch dostępny w commicie 4ae3f6b2c9883978837638c14e3d18419819eeb0 oraz zaktualizować system do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in YunaiV/zhijiantianya ruoyi-vue-pro up to 2026.04-jdk8-SNAPSHOT. The impacted element is the function generateUploadPath of the file yudao-module-infra/src/main/java/cn/iocoder/yudao/module/infra/service/file/FileServiceImpl.java of the component AppFileController File Upload Endpoint. Performing a manipulation results in path traversal. Remote exploitation of the attack is possible. The exploit has been made public and could be used. The patch is named 4ae3f6b2c9883978837638c14e3d18419819eeb0. It is recommended to apply a patch to fix this issue. This product is published by multiple vendors.