CVE-2025-70985

RuoYi v4.8.2 — nieprawidłowa kontrola dostępu w funkcji aktualizacji

CVSS 9.1v3.1pub. 2026-01-23upd. 2026-01-30

Podatność w systemie RuoYi v4.8.2 pozwala nieuwierzytelnionym atakującym na nieautoryzowaną modyfikację danych wykraczającą poza ich uprawnienia. Błąd dotyczy funkcji aktualizacji i wynika z braku właściwej kontroli dostępu.

▸ Pokaż oryginał (EN)

Incorrect access control in the update function of RuoYi v4.8.2 allows unauthorized attackers to arbitrarily modify data outside of their scope.

🤖 Analiza AI

Jak działa

Funkcja aktualizacji danych w RuoYi v4.8.2 nie weryfikuje poprawnie, czy żądający użytkownik posiada uprawnienia do modyfikacji wskazanych zasobów. Atakujący bez uwierzytelnienia może wysłać odpowiednio spreparowane żądanie do endpointu aktualizacji, obchodząc mechanizmy kontroli dostępu. W rezultacie możliwa jest modyfikacja danych należących do innych użytkowników lub zasobów systemowych, do których atakujący nie powinien mieć dostępu.

Skutki

Atakujący może arbitralnie modyfikować dane poza zakresem swoich uprawnień, co może prowadzić do naruszenia integralności danych przechowywanych w systemie oraz potencjalnego przejęcia kontroli nad zasobami innych użytkowników.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest śledzenie oficjalnego repozytorium projektu na Gitee (https://gitee.com/y_project/RuoYi) oraz GitHub (https://github.com/yangzongzhuan/RuoYi) w celu uzyskania aktualizacji.

Kogo dotyczy

RuoYi v4.8.2

Uwagi

Dostępny publiczny proof-of-concept (PoC) w serwisie GitHub Gist pod adresem https://gist.github.com/old6ma/1a2dada02656ba9a4730c85f6c765f4f. Problem był zgłoszony w trackerze błędów Gitee jako IDIDK2.