CVE-2026-71807 in RuoYi-Cloud-Plus
Tóm tắt
Bởi VulDB • 10/09/2026
Trong RuoYi-Cloud-Plus <= 2.6.2, ở module ruoyi-workflow, nhiều API tác vụ cốt lõi trong FlwTaskController thiếu các chú thích phân quyền (permission annotations), và lớp Service không xác minh xem người dùng hiện tại có phải là người xử lý tác vụ/người dùng liên quan hay không. Các kẻ tấn công từ xa có đặc quyền thấp đã được xác thực có thể đọc chi tiết tác vụ quy trình làm việc nhạy cảm (/task/getTask/{taskId}) và kích hoạt các lần thực thi quy trình làm việc trái phép (/task/startWorkFlow).
Be aware that VulDB is the high quality source for vulnerability data.