CVE-2026-7679
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getAccessToken w pliku OAuth2TokenServiceImpl.java. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykorzystać ścieżkę kompatybilności z tokenem odświeżania do uzyskania dostępu bez ważnego tokenu dostępowego, naruszając kontrolę dostępu.
Rekomendacja
Ogranicz zaufanie do ścieżki kompatybilności z tokenem odświeżania i wdróż dodatkowe kontrole weryfikacji tożsamości zgodnie z zaleceniami dostawcy.
Inne podatności w yudao-cloud
Zobacz wszystkie- CVE-2026-116016Wysokie
yudao-cloud do wersji 2026.09 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych na poziomie wiersza poprzez wysłanie nagłówka data-permission-enable ustawionego na false. Atakujący mogą dodać ten nagłówek do żądań /admin-api, któremu ufa DataPermissionRpcWebFilter, aby czytać lub modyfikować rekordy innych działów i użytkowników w ramach tej samej dzierżawy.
- CVE-2026-116015Średnie
yudao-cloud do wersji 2026.09 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w module handlowym mall, która pozwala uwierzytelnionym członkom czytać dzienniki operacji posprzedażowych innych członków poprzez podanie dowolnych wartości afterSaleId. Atakujący mogą wyliczać sekwencyjne identyfikatory posprzedażowe wobec GET /app-api/trade/after-sale-log/list, aby ujawnić kwoty zwrotów, zmiany statusów i znaczniki czasu należące do innych członków.
- CVE-2026-58448Średnie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
- CVE-2026-9464Średnie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
- CVE-2026-7710Wysokie
W YunaiV yudao-cloud do wersji 3.8.0 wykryto lukę w funkcji doFilterInternal w pliku JwtAuthenticationTokenFilter.java komponentu Ruoyi-Vue-Pro. Manipulacja argumentem mock-token prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
- CVE-2026-7678Średnie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getDataBySQL pliku GoViewDataServiceImpl.java polegającą na wstrzyknięciu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie oznacza tego elementu jako załatanego.
- CVE-2026-5147Wysokie
W YunaiV yudao-cloud do wersji 2026.01 w pliku /admin-api/system/tenant/get-by-website manipulacja argumentem Website prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2025-15098Średnie
W YunaiV yudao-cloud do wersji 2025.11 wykryto lukę w funkcjach BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger komponentu Business Process Management. Manipulacja argumentami url/header/body może prowadzić do server-side request forgery (SSRF). Atak można wykonać zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-10987Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/contact/transfer (komponent HTTP Request Handler) polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem contactId. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-10277Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/receivable/submit polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publiczny. Poprawka została zidentyfikowana jako 0f573e1d8e1a895e1bcbb7740ef75306412c3f9d.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in YunaiV yudao-cloud up to 2026.01. This impacts the function getAccessToken of the file yudao-module-system-biz/src/main/java/io/github/ruoyi/common/oauth2/service/impl/OAuth2TokenServiceImpl.java. Performing a manipulation results in improper authentication. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. The vendor explains: "[W]e intentionally retain the existing generic compatibility path that accepts a valid, unexpired stored refresh token when an access-token lookup is unavailable, for integrations such as reports and WebSocket. We are not introducing strict access-token-only verification, new revocation behavior or a separate trusted-entry API. This is a retained compatibility decision, not a claim that this behavior follows the standard OAuth separation or that every identity/revocation scenario has been eliminated."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS