CVE-2025-15098

Nome do Software Vulnerável e Versões Afetadas Versões do YunaiV yudao-cloud anteriores a 2025.11

Descrição Existe uma condição de falsificação de solicitação no lado do servidor (SSRF) no componente de Gerenciamento de Processos de Negócio, especificamente dentro da função BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger. A manipulação dos argumentos url, header ou body pode ser explorada para realizar ataques de falsificação de solicitação no lado do servidor remotamente. O exploit foi divulgado publicamente e o fornecedor foi notificado, mas não respondeu.

Recomendações Versões anteriores a 2025.11 devem ser atualizadas. Como medida de contorno temporária, considere restringir o acesso à função BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger até que uma correção esteja disponível. Evite usar dados não confiáveis nos parâmetros url, header ou body.