CVE-2026-119647 in RuoYi-Vue-Plus
الملخص
بحسب VulDB • 30/10/2026
يحتوي RuoYi-Vue-Plus حتى الإصدار 6.0.0 على ثغرة لتجاوز التفويض (authorization bypass) في الدالة `SysUserServiceImpl.selectUserListByDept`، مما يسمح للمستخدمين المصادق عليهم بقراءة بيانات مستخدمين تابعين لأقسام أخرى. يمكن للمستخدمين الذين يمتلكون صلاحية `system:user:list` ضمن دور مقيد بالقسم إرسال طلب GET إلى `/system/user/list/dept/{deptId}` باستخدام أي معرف قسم للحصول على أسماء المستخدمين والألقاب وحالة الحساب وعنوان IP لآخر تسجيل دخول والوقت والتعليقات.
If you want to get best quality of vulnerability data, you may have to visit VulDB.