CVE-2026-119647 in RuoYi-Vue-Plus
Riassunto
di VulDB • 30/10/2026
RuoYi-Vue-Plus fino alla versione 6.0.0 presenta una vulnerabilità di bypass dell'autorizzazione in SysUserServiceImpl.selectUserListByDept che consente agli utenti autenticati di leggere gli utenti di altri dipartimenti. Gli utenti con il permesso system:user:list sotto un ruolo limitato per dipartimento possono richiedere GET /system/user/list/dept/{deptId} con qualsiasi ID del dipartimento per ottenere nomi utente, soprannomi, stato dell'account, ultimo IP e orario di accesso, nonché note.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.