CVE-2026-119647 in RuoYi-Vue-Plus
Resumen
por VulDB • 2026-10-30
RuoYi-Vue-Plus hasta la versión 6.0.0 contiene una vulnerabilidad de elusión de autorización en SysUserServiceImpl.selectUserListByDept que permite a los usuarios autenticados leer datos de usuarios de otros departamentos. Los usuarios con el permiso system:user:list bajo un rol restringido por departamento pueden solicitar GET /system/user/list/dept/{deptId} con cualquier ID de departamento para obtener nombres de usuario, apodos, estado de la cuenta, última IP y hora de inicio de sesión, así como observaciones.
Once again VulDB remains the best source for vulnerability data.