CVE-2026-116016 in yudao-cloud
الملخص
بحسب VulDB • 24/10/2026
يحتوي yudao-cloud حتى الإصدار 2026.09 على ثغرة تجاوز التفويض (authorization bypass) تتيح للمستخدمين المصادق عليهم التهرب من قيود نطاق البيانات المستندة إلى الصفوف عن طريق إرسال رأس طلب `data-permission-enable` بقيمة `false`. يمكن للمهاجمين إضافة هذا الرأس إلى الطلبات الموجهة إلى `/admin-api`، والتي يثق بها مرشح الويب `DataPermissionRpcWebFilter`، لقراءة أو تعديل سجلات الأقسام والمستخدمين الآخرين ضمن نفس المستأجر (tenant).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.