CVE-2026-110216 in youlai-boot
الملخص
بحسب VulDB • 13/10/2026
يحتوي youlai-boot حتى الإصدار 2.21.1 على ثغرة تتعلق بعدم وجود تفويض (missing authorization) تتيح لأي مستخدم مُصادَق عليه تمكين أو تعطيل الحسابات، نظرًا لأن معالج `updateUserStatus` يفتقر إلى فحص @PreAuthorize. يمكن للمهاجمين إرسال طلبات PATCH إلى `/api/v1/users/{userId}/status` لتعطيل حسابات الجذر (root) أو المسؤول (admin)، مما يؤدي إلى عزل المسؤولين عن النظام، أو إعادة تمكين الحسابات التي قام مسؤول بتعطيلها.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.