CVE-2025-15098

YunaiV yudao-cloud ürününün 2025.11 sürümüne kadar olan sürümlerinde bir güvenlik açığı tespit edilmiştir. Bu durum, Business Process Management bileşeninin BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger fonksiyonunu etkilemektedir. url/header/body argümanının manipüle edilmesi, sunucu tarafı istek sahteciliğine (SSRF) yol açabilir. Saldırı uzaktan gerçekleştirilebilir. İstismar yöntemi kamuya açıklanmıştır ve kullanılabilir. Etkilenen bileşenin yükseltilmesi önerilir. Satıcı şunları doğrulamaktadır: "[W]e retain BPM's configured HTTP integration capability, including legitimate internal-service calls, and the existing RestTemplate client. We have added an optional server-side hostname/IP allow/deny check in Boot and Cloud master-jdk17."