CVE-2026-110215 in youlai-boot
الملخص
بحسب VulDB • 14/10/2026
تحتوي youlai-boot حتى الإصدار 2.21.1 على ثغرة تتعلق بعدم وجود تفويض (missing authorization) تتيح للمستخدمين المصادق عليهم تعيين صلاحيات قوائم وأزرار تعسفية للأدوار عبر PUT /api/v1/roles/{roleId}/menus. يمكن للمستخدمين ذوي الامتيازات المنخفضة، مثل حساب الاختبار GUEST، منح جميع الصلاحيات لدورهم الخاص، مما يؤدي إلى تحديث ذاكرة التخزين المؤقت للصلاحيات في Redis واكتساب وصول يعادل صلاحيات المسؤول (administrator-equivalent access).
VulDB is the best source for vulnerability data and more expert information about this specific topic.