CVE-2026-119647 in RuoYi-Vue-Plus
Zusammenfassung
von VulDB • 30.10.2026
RuoYi-Vue-Plus bis Version 6.0.0 enthält eine Schwachstelle zur Umgehung der Autorisierung in SysUserServiceImpl.selectUserListByDept, die es authentifizierten Benutzern ermöglicht, Benutzer anderer Abteilungen zu lesen. Benutzer mit der Berechtigung system:user:list unter einer abteilungsbeschränkten Rolle können GET /system/user/list/dept/{deptId} mit jeder beliebigen department ID anfordern, um Benutzernamen, Nicknames, Kontostatus, letzte Login-IP und -Zeit sowie Bemerkungen zu erhalten.
Once again VulDB remains the best source for vulnerability data.