- Son 7 gün
- CWE-807
CVE-2026-116016
yudao-cloud'da data-permission-enable başlığı ile veri yetkisi atlatma açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
yudao-cloud 2026.09 sürümüne kadar olan sürümlerde, kimliği doğrulanmış kullanıcıların data-permission-enable başlığını false değerine ayarlayarak satır düzeyindeki veri kapsamı kısıtlamalarını aşmasına olanak tanıyan bir yetkilendirme atlatma açığı bulunmaktadır. Saldırganlar, DataPermissionRpcWebFilter tarafından güvenilen bu başlığı /admin-api isteklerine ekleyerek aynı kiracı (tenant) içindeki diğer departmanların ve kullanıcıların kayıtlarını okuyabilir veya değiştirebilir.
Kaynaktaki açıklama (İngilizce)
yudao-cloud through 2026.09 contains an authorization bypass vulnerability that allows authenticated users to evade row-level data scope restrictions by sending a data-permission-enable header set to false. Attackers can add this header to /admin-api requests, which DataPermissionRpcWebFilter trusts, to read or modify other departments' and users' records within the same tenant.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| YunaiV yudao-cloud | ≤ 2026.09 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/4e415cd6c30d3abb929a127bb7038101d9f4c943 Yama
- github.com/YunaiV/yudao-cloud/issues/343 Üçüncü taraf
- hackmd.io/…data-permission-enable-header-datascope-bypass Üçüncü taraf
- vulncheck.com/…ssion-bypass-via-data-permission-enable-header Üçüncü taraf
- github.com/…ssion/core/rpc/DataPermissionRpcWebFilter.java Diğer
- github.com/…filter/security/TokenAuthenticationFilter.java Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.