CVE-2026-58448
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych procesowych, w tym danych osobowych i biznesowych, co może prowadzić do naruszenia przepisów o ochronie danych oraz utraty zaufania klientów.
Rekomendacja
Należy natychmiast zaktualizować yudao-cloud do wersji 2026.06 lub nowszej oraz dodać adnotację @PreAuthorize do punktu końcowego GET w module BPM, aby wymusić weryfikację uprawnień i własności instancji procesu.
Inne podatności w yudao-cloud
Zobacz wszystkie- CVE-2026-116016Wysokie
yudao-cloud do wersji 2026.09 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych na poziomie wiersza poprzez wysłanie nagłówka data-permission-enable ustawionego na false. Atakujący mogą dodać ten nagłówek do żądań /admin-api, któremu ufa DataPermissionRpcWebFilter, aby czytać lub modyfikować rekordy innych działów i użytkowników w ramach tej samej dzierżawy.
- CVE-2026-116015Średnie
yudao-cloud do wersji 2026.09 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w module handlowym mall, która pozwala uwierzytelnionym członkom czytać dzienniki operacji posprzedażowych innych członków poprzez podanie dowolnych wartości afterSaleId. Atakujący mogą wyliczać sekwencyjne identyfikatory posprzedażowe wobec GET /app-api/trade/after-sale-log/list, aby ujawnić kwoty zwrotów, zmiany statusów i znaczniki czasu należące do innych członków.
- CVE-2026-9464Średnie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
- CVE-2026-7710Wysokie
W YunaiV yudao-cloud do wersji 3.8.0 wykryto lukę w funkcji doFilterInternal w pliku JwtAuthenticationTokenFilter.java komponentu Ruoyi-Vue-Pro. Manipulacja argumentem mock-token prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
- CVE-2026-7679Wysokie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getAccessToken w pliku OAuth2TokenServiceImpl.java. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
- CVE-2026-7678Średnie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getDataBySQL pliku GoViewDataServiceImpl.java polegającą na wstrzyknięciu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie oznacza tego elementu jako załatanego.
- CVE-2026-5147Wysokie
W YunaiV yudao-cloud do wersji 2026.01 w pliku /admin-api/system/tenant/get-by-website manipulacja argumentem Website prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2025-15098Średnie
W YunaiV yudao-cloud do wersji 2025.11 wykryto lukę w funkcjach BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger komponentu Business Process Management. Manipulacja argumentami url/header/body może prowadzić do server-side request forgery (SSRF). Atak można wykonać zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-10987Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/contact/transfer (komponent HTTP Request Handler) polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem contactId. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-10277Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/receivable/submit polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publiczny. Poprawka została zidentyfikowana jako 0f573e1d8e1a895e1bcbb7740ef75306412c3f9d.
Oryginalny opis (angielski, źródło NVD)
yudao-cloud before 2026.06 contains a broken access control vulnerability in the BPM module that allows any authenticated user to access arbitrary process instance records by supplying a caller-controlled process-instance identifier to an unprotected endpoint lacking the @PreAuthorize annotation. Attackers can query any process-instance identifier through the unguarded GET endpoint to read sensitive workflow data including submitted form variables, approver identities, approval and rejection comments, and process BPMN XML without ownership or tenant party verification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS