Podatności RuoYi-Vue-Plus

Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.

RuoYi-Vue-Plus do wersji 6.0.0 zawiera podatność obejścia autoryzacji w metodzie SysUserServiceImpl.selectUserListByDept, która pozwala uwierzytelnionym użytkownikom czytać dane użytkowników innych działów. Użytkownicy posiadający uprawnienie system:user:list w roli ograniczonej do działu mogą wysłać żądanie GET /system/user/list/dept/{deptId} z dowolnym identyfikatorem działu, aby uzyskać nazwy użytkowników, pseudonimy, status konta, ostatni adres IP i czas logowania oraz uwagi.

RuoYi-Vue-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId} z identyfikatorem powiązania ofiary, aby usunąć powiązania GitHub, WeChat lub Gitee oraz przechowywane tokeny OAuth, blokując logowanie społecznościowe.

Problem w RuoYi-Vue-Plus 6.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent FlwTaskController.java oraz elementy FlwTaskServiceImpl.completeTask, CompleteExecuteComponent.process, Warm-Flow TaskService.skip, POST /workflow/task/completeTask.

W systemie RuoYi-Vue-Plus do wersji 5.6.2 (poprawione w commicie 88d03d9) endpointy zarządzania zadaniami przepływu pracy w kontrolerze FlwTaskController nie mają żadnej kontroli uprawnień. Każdy uwierzytelniony użytkownik, niezależnie od roli, może zmieniać przypisanie zadań, przyspieszać je oraz przeglądać wszystkie oczekujące i zakończone zadania.