CVE-2026-108111

Nome do Software Vulnerável e Versões Afetadas ruoyi-ai versões 3.0.0 through 3.1.0

Description Uma falha de autorização existe no endpoint 'GET /workflow/search'. Usuários autenticados sem privilégios administrativos podem consultar este endpoint para listar fluxos de trabalho privados habilitados dentro do mesmo tenant. Isso ocorre porque o endpoint não implementa a filtragem baseada no proprietário ou no status is public, resultando na exposição de UUIDs de fluxos de trabalho privados e configurações completas de nós e arestas.

Recommendations Atualize o ruoyi-ai versões 3.0.0 through 3.1.0 para uma versão onde este problema tenha sido resolvido. Restrinja o acesso ao endpoint 'GET /workflow/search' para evitar o acesso não autorizado a fluxos de trabalho privados.