CVE-2026-58176

RuoYi-Vue-Plus 5.6.2 versiyasına qədər, 88d03d9 commitində düzəldilmiş, /workflow/task altında (FlwTaskController) iş axını tapşırıqlarının idarə edilməsi endpointlərini heç bir icazə yoxlaması olmadan açıq şəkildə təqdim edir: controller nə sinif səviyyəsində, nə də metod səviyyəsində avtorizasiya annotasiyası elan etmir, buna görə də endpointlər yalnız qlobal autentifikasiya ilə məhdudlaşdırılır. Beləliklə, hər hansı autentifikasiyadan keçmiş istifadəçi, təyin edilmiş roldan asılı olmayaraq, updateAssignee vasitəsilə iş axını təsdiq tapşırıqlarını ixtiyari istifadəçilərə yenidən təyin edə (təsdiq prosesində vəzifələrin ayrılması prinsipini pozaraq), ixtiyari tapşırıqları tələsdirə və pageByAllTaskWait və pageByAllTaskFinish siyahılama endpointləri vasitəsilə bütün gözləyən və tamamlanmış tapşırıqları sadalaya bilər. Problem bu endpointlərə icazə identifikatorları (SaCheckPermission) əlavə edilməklə həll edilmişdir.