CVE-2026-116016
Beschrijving NL
yudao-cloud tot en met 2026.09 bevat een beveiligingslek voor het omzeilen van autorisaties waarmee geverifieerde gebruikers beperkingen op het gebied van gegevensbereik op rijniveau kunnen omzeilen door een gegevensmachtigingskoptekst op onwaar te zetten. Aanvallers kunnen deze header toevoegen aan /admin-api-verzoeken, die DataPermissionRpcWebFilter vertrouwt, om de records van andere afdelingen en gebruikers binnen dezelfde tenant te lezen of te wijzigen.
Origineel (Engels) tonen
yudao-cloud through 2026.09 contains an authorization bypass vulnerability that allows authenticated users to evade row-level data scope restrictions by sending a data-permission-enable header set to false. Attackers can add this header to /admin-api requests, which DataPermissionRpcWebFilter trusts, to read or modify other departments' and users' records within the same tenant.