Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 24 OCT · 11:20

CVE-2026-116016 Evasión de permisos de datos mediante el encabezado data-permission-enable en yudao-cloud

yudao-cloud, hasta la versión 2026.09, permite a usuarios autenticados evadir las restricciones de alcance de datos por fila enviando el encabezado data-permission-enable en false. DataPermissionRpcWebFilter confía en ese encabezado en las peticiones a /admin-api, lo que permite leer o modificar registros de otros departamentos y usuarios del mismo tenant.

7.1ALTA

CVSS 3.1

  • CVSS 4.07.1 · alta
  • Probabilidad de explotaciónSin dato
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • YunaiV yudao-cloud

    hasta 2026.09

Qué hacer

  1. Verificá si usás yudao-cloud y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadBaja
  • DisponibilidadNinguna

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Baja
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

yudao-cloud through 2026.09 contains an authorization bypass vulnerability that allows authenticated users to evade row-level data scope restrictions by sending a data-permission-enable header set to false. Attackers can add this header to /admin-api requests, which DataPermissionRpcWebFilter trusts, to read or modify other departments' and users' records within the same tenant.

Referencias (6)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.