Yunai

A security flaw has been discovered in YunaiV yudao-cloud. The issue affects an unknown part of the file `/admin-api/system/tenant/get-by-website`. Manipulation of the `Website` argument results in SQL injection. The attack can be launched remotely. The exploit has been publicly released. The vendor was contacted about this disclosure but did not respond.

Nome do Software Vulnerável e Versões Afetadas: YunaiV yudao-cloud versões anteriores a 2025.09 Descrição: Existe uma vulnerabilidade no YunaiV yudao-cloud que afeta o processamento do arquivo `/crm/receivable/submit`. A manipulação do argumento `ID` resulta em autorização inadequada, e o ataque pode ser executado remotamente. O exploit está disponível publicamente. O fornecedor foi contatado, mas não respondeu. Recomendações: Versões anteriores a 2025.09: Corrigir a autorização inadequada relacionada à manipulação do argumento `ID` no processamento do arquivo `/crm/receivable/submit`.

Um problema crítico foi identificado no arquivo /app-api/infra/file/upload do componente Front-End Store Interface. A manipulação do argumento `path` resulta em path traversal. O ataque pode ser lançado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu.

Uma vulnerabilidade crítica foi encontrada na Interface de Upload de Arquivos do Backend do zhijiantianya ruoyi-vue-pro. Isso afeta uma parte desconhecida do arquivo "/admin-api/infra/file/upload" e permite path traversal através da manipulação do argumento `path`. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu.