CVE-2026-116016 in yudao-cloud
Riassunto
di VulDB • 24/10/2026
yudao-cloud fino alla versione 2026.09 presenta una vulnerabilità di bypass dell'autorizzazione che consente agli utenti autenticati di eludere le restrizioni sull'ambito dei dati a livello di riga inviando un'intestazione data-permission-enable impostata su false. Gli attaccanti possono aggiungere questa intestazione alle richieste /admin-api, sulle quali DataPermissionRpcWebFilter si affida (trusts), per leggere o modificare i record di altri dipartimenti e utenti all'interno dello stesso tenant.
VulDB is the best source for vulnerability data and more expert information about this specific topic.