CVE-2026-38812
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
RuoYi w wersji 4.8.2 jest podatny na atak typu SQL Injection poprzez punkt końcowy /tool/gen/createTable. Problem dotyczy modułu generowania kodu i może umożliwić uwierzytelnionemu atakującemu z uprawnieniami administratora dostęp do wrażliwych informacji w bazie danych.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać dostęp do poufnych danych w bazie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji RuoYi oraz wprowadzenie dodatkowych zabezpieczeń, aby ograniczyć dostęp do punktu końcowego /tool/gen/createTable.
Inne podatności w RuoYi v4.8.2
Zobacz wszystkie- CVE-2025-70986Wysokie
Nieprawidłowa kontrola dostępu w funkcji selectDept w RuoYi v4.8.2 umożliwia nieautoryzowanym atakującym dowolny dostęp do wrażliwych danych departamentów.
- CVE-2025-70985Krytyczne
Nieprawidłowa kontrola dostępu w funkcji aktualizacji RuoYi v4.8.2 pozwala nieautoryzowanym atakującym na dowolną modyfikację danych poza ich zakresem.
- CVE-2024-57521Krytyczne
Podatność SQL Injection w RuoYi w wersji 4.7.9 i wcześniejszych pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcję createTable w pliku SqlUtil.java.
- CVE-2026-108825Średnie
W systemie RuoYi do wersji 4.8.3 wykryto podatność w funkcji checkRoleAllowed pliku /system/role/authDataScope. Manipulacja argumentem roleKey prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108803Średnie
Wykryto podatność w y_project RuoYi do wersji 4.8.3. Dotyczy funkcji changeStatus w pliku /system/config/add komponentu Disable API. Manipulacja prowadzi do wygaśnięcia sesji. Atak może być przeprowadzony zdalnie. Sprzedawca został poinformowany, ale nie odpowiedział.
- CVE-2026-108800Średnie
Podatność w RuoYi 4.8.3 polega na nieznanej funkcji, która umożliwia atak typu cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie.
- CVE-2026-37216Średnie
Ruoyi w wersji 4.8.2 jest podatny na atak Cross Site Scripting (XSS) w interfejsie /system/notice/add.
- CVE-2025-67342Średnie
RuoYi w wersjach 4.8.1 i wcześniejszych zawiera lukę stored XSS w punkcie końcowym /system/menu/edit. Mimo że punkt końcowy jest chroniony filtrem XSS, ochronę można obejść, a ponieważ menu jest współdzielone przez wszystkich użytkowników, każdy użytkownik z uprawnieniami do modyfikacji menu może wpłynąć na wszystkich użytkowników.
- CVE-2025-46175Wysokie
W systemie Ruoyi w wersji 4.8.0 występuje podatność nieprawidłowej kontroli dostępu. W metodzie authRole klasy SysUserController.java brakuje sprawdzenia uprawnień checkUserDataScope. Może to umożliwić nieuprawniony dostęp do operacji związanych z rolami użytkowników.
- CVE-2025-10989Średnie
W systemie yangzongzhuan RuoYi do wersji 4.8.1 odkryto podatność w pliku /system/role/authUser/selectAll. Manipulacja argumentem userIds prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
RuoYi v4.8.2 is vulnerable to SQL Injection via the /tool/gen/createTable endpoint. The issue affects the code generation module and may allow an authenticated attacker with administrative privileges to access sensitive database information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS