CVE-2025-10278
Açıklama
YunaiV ruoyi-vue-pro 2025.09 sürümüne kadar olan versiyonlarında bir açık bulunmuştur. /crm/contact/transfer dosyasının bilinmeyen bir fonksiyonu etkilenmektedir. ids/newOwnerUserId parametresinin manipülasyonu, hatalı yetkilendirmeye neden olur. Saldırının uzaktan gerçekleştirilmesi mümkündür. Exploit yayınlanmıştır ve kullanılabilir. Etkilenen bileşeni yükseltmeniz önerilir. Satıcı şunu onaylamaktadır: "Mevcut kod zaten fonksiyonel güncelleme iznini kontrol etmekte, kimliği doğrulanmış sunucu tarafı kullanıcı kimliğini kullanmakta, CRM OWNER izni gerektirmekte ve yetkili CRM yöneticileri hariç, paylaşılan transfer hizmetindeki sahip olmayan transferleri açıkça reddetmektedir."
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| iocoder ruoyi-vue-pro | v ≤ 2025.09 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.