CVE-2026-119647 in RuoYi-Vue-Plus
Sumário
de VulDB • 30/10/2026
O RuoYi-Vue-Plus até a versão 6.0.0 contém uma vulnerabilidade de bypass de autorização no método `SysUserServiceImpl.selectUserListByDept` que permite que usuários autenticados leiam dados de usuários de outros departamentos. Usuários com a permissão `system:user:list` em um papel restrito por departamento podem solicitar o endpoint GET `/system/user/list/dept/{deptId}` com qualquer ID de departamento para obter nomes de usuário, apelidos, status da conta, último IP e horário de login, além de observações (remarks).
If you want to get best quality of vulnerability data, you may have to visit VulDB.