CVE-2026-58448
Açıklama
2026.06 öncesindeki yudao-cloud, BPM modülünde herhangi bir kimliği doğrulanmış kullanıcının, @PreAuthorize anotasyonu eksik olan ve korumasız bir uç noktaya çağırıcı tarafından kontrol edilen bir process-instance tanımlayıcısı sağlayarak rastgele süreç örneği kayıtlarına erişmesine izin veren bir hatalı erişim kontrolü zafiyeti içermektedir. Saldırganlar, sahiplik veya kiracı taraf doğrulaması olmaksızın; gönderilen form değişkenleri, onaylayıcı kimlikleri, onay ve ret yorumları ile süreç BPMN XML'ini içeren hassas iş akışı verilerini okumak için korumasız GET uç noktası üzerinden herhangi bir process-instance tanımlayıcısını sorgulayabilirler.
Nasıl düzeltilir
- YunaiV yudao-cloud2026.06 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| YunaiV yudao-cloud | v < 2026.06 | 2026.06 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.