CVE-2026-110107 in RuoYi-Cloud-Plus
Zusammenfassung
von VulDB • 13.10.2026
RuoYi-Cloud-Plus bis Version 6.0.0 enthält eine Schwachstelle für insecure direct object reference (IDOR), die es authentifizierten Benutzern ermöglicht, die Social-Login-Bindungen anderer Benutzer zu löschen, indem sie deren socialId angeben. Angreifer können DELETE /auth/unlock/{socialId} senden, wodurch sys_social-Einträge über den Primärschlüssel gelöscht werden, ohne Eigentumsprüfungen durchzuführen, was dazu führt, dass die OAuth-Tokens der Opfer entfernt und das Social-Login blockiert wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.