CVE-2026-5147

yudao-cloud do wersji 2026.09 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych na poziomie wiersza poprzez wysłanie nagłówka data-permission-enable ustawionego na false. Atakujący mogą dodać ten nagłówek do żądań /admin-api, któremu ufa DataPermissionRpcWebFilter, aby czytać lub modyfikować rekordy innych działów i użytkowników w ramach tej samej dzierżawy.

yudao-cloud do wersji 2026.09 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w module handlowym mall, która pozwala uwierzytelnionym członkom czytać dzienniki operacji posprzedażowych innych członków poprzez podanie dowolnych wartości afterSaleId. Atakujący mogą wyliczać sekwencyjne identyfikatory posprzedażowe wobec GET /app-api/trade/after-sale-log/list, aby ujawnić kwoty zwrotów, zmiany statusów i znaczniki czasu należące do innych członków.

Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.

Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.

W YunaiV yudao-cloud do wersji 3.8.0 wykryto lukę w funkcji doFilterInternal w pliku JwtAuthenticationTokenFilter.java komponentu Ruoyi-Vue-Pro. Manipulacja argumentem mock-token prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.

W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getAccessToken w pliku OAuth2TokenServiceImpl.java. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.

W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getDataBySQL pliku GoViewDataServiceImpl.java polegającą na wstrzyknięciu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie oznacza tego elementu jako załatanego.

W YunaiV yudao-cloud do wersji 2025.11 wykryto lukę w funkcjach BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger komponentu Business Process Management. Manipulacja argumentami url/header/body może prowadzić do server-side request forgery (SSRF). Atak można wykonać zdalnie, a exploit jest publicznie ujawniony.

W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/contact/transfer (komponent HTTP Request Handler) polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem contactId. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.

W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/receivable/submit polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publiczny. Poprawka została zidentyfikowana jako 0f573e1d8e1a895e1bcbb7740ef75306412c3f9d.