Yunai

تم اكتشاف ثغرة أمنية في YunaiV yudao-cloud. تؤثر هذه المشكلة على جزء غير معروف من الملف `/admin-api/system/tenant/get-by-website`. يؤدي التلاعب بالمعلمة `Website` إلى حدوث حقن SQL. يمكن شن الهجوم عن بُعد. وقد تم نشر أداة الاستغلال علنًا. تم الاتصال بالمورد بشأن هذا الكشف، لكنه لم يرد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: YunaiV yudao-cloud الإصدارات الأقدم من 2025.09 الوصف: توجد ثغرة أمنية في YunaiV yudao-cloud تؤثر على معالجة الملف `/crm/receivable/submit`. يؤدي التلاعب بالمعلمة `ID` إلى تفويض غير مناسب، ويمكن تنفيذ الهجوم عن بُعد. الاستغلال متاح للجمهور. تم الاتصال بالمورد، لكنه لم يرد. التوصيات: الإصدارات الأقدم من 2025.09: إصلاح الترخيص غير المناسب المتعلق بالتلاعب بالمعلمة `ID` في معالجة الملف `/crm/receivable/submit`.

تم تحديد مشكلة حرجة في الملف /app-api/infra/file/upload التابع لمكون Front-End Store Interface. تؤدي معالجة الوسيطة `path` إلى اختراق المسار (path traversal). يمكن شن الهجوم عن بُعد. تم الكشف عن الثغرة علنًا ويمكن استغلالها. تم الاتصال بالمورد مسبقًا بشأن هذا الكشف، لكنه لم يرد.

تم اكتشاف ثغرة أمنية خطيرة في واجهة تحميل الملفات في الخلفية (Backend) لبرنامج zhijiantianya ruoyi-vue-pro. تؤثر هذه الثغرة على جزء غير معروف من الملف ”/admin-api/infra/file/upload“ وتسمح بعبور المسار (path traversal) من خلال التلاعب بالمعلمة `path`. يمكن شن الهجوم عن بُعد. تم الكشف عن الاستغلال علنًا ويمكن استخدامه. تم الاتصال بالمورد مسبقًا بشأن هذا الكشف، لكنه لم يرد.