CVE-2026-9464
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.
Ocena ryzyka
Ryzyko wykorzystania serwera do ataków na wewnętrzne zasoby sieciowe, kradzieży danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj oprogramowanie do najnowszej wersji. Jeśli nie jest dostępna, tymczasowo wyłącz endpoint lub zastosuj reguły WAF blokujące podejrzane żądania.
Inne podatności w yudao-cloud
Zobacz wszystkie- CVE-2026-116016Wysokie
yudao-cloud do wersji 2026.09 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych na poziomie wiersza poprzez wysłanie nagłówka data-permission-enable ustawionego na false. Atakujący mogą dodać ten nagłówek do żądań /admin-api, któremu ufa DataPermissionRpcWebFilter, aby czytać lub modyfikować rekordy innych działów i użytkowników w ramach tej samej dzierżawy.
- CVE-2026-116015Średnie
yudao-cloud do wersji 2026.09 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w module handlowym mall, która pozwala uwierzytelnionym członkom czytać dzienniki operacji posprzedażowych innych członków poprzez podanie dowolnych wartości afterSaleId. Atakujący mogą wyliczać sekwencyjne identyfikatory posprzedażowe wobec GET /app-api/trade/after-sale-log/list, aby ujawnić kwoty zwrotów, zmiany statusów i znaczniki czasu należące do innych członków.
- CVE-2026-58448Średnie
Podatność w module BPM systemu yudao-cloud przed wersją 2026.06 umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych instancji procesów poprzez podanie identyfikatora instancji w niechronionym punkcie końcowym GET. Brak adnotacji @PreAuthorize oraz weryfikacji własności lub dzierżawy pozwala na odczyt wrażliwych danych, takich jak zmienne formularzy, tożsamości osób zatwierdzających, komentarze oraz XML BPMN procesu.
- CVE-2026-7710Wysokie
W YunaiV yudao-cloud do wersji 3.8.0 wykryto lukę w funkcji doFilterInternal w pliku JwtAuthenticationTokenFilter.java komponentu Ruoyi-Vue-Pro. Manipulacja argumentem mock-token prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
- CVE-2026-7679Wysokie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getAccessToken w pliku OAuth2TokenServiceImpl.java. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia, a exploit jest publicznie dostępny.
- CVE-2026-7678Średnie
W YunaiV yudao-cloud do wersji 2026.01 wykryto lukę w funkcji getDataBySQL pliku GoViewDataServiceImpl.java polegającą na wstrzyknięciu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie oznacza tego elementu jako załatanego.
- CVE-2026-5147Wysokie
W YunaiV yudao-cloud do wersji 2026.01 w pliku /admin-api/system/tenant/get-by-website manipulacja argumentem Website prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2025-15098Średnie
W YunaiV yudao-cloud do wersji 2025.11 wykryto lukę w funkcjach BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger komponentu Business Process Management. Manipulacja argumentami url/header/body może prowadzić do server-side request forgery (SSRF). Atak można wykonać zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-10987Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/contact/transfer (komponent HTTP Request Handler) polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem contactId. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.
- CVE-2025-10277Średnie
W YunaiV yudao-cloud do wersji 2025.09 wykryto lukę w pliku /crm/receivable/submit polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem ID. Atak można wykonać zdalnie, a exploit jest publiczny. Poprawka została zidentyfikowana jako 0f573e1d8e1a895e1bcbb7740ef75306412c3f9d.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in YunaiV yudao-cloud 2026.03. This affects the function IotDataSinkHttpConfig of the file /admin-api/iot/data-sink/create of the component Admin API Endpoint. Such manipulation leads to server-side request forgery. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS