Aller au contenu
Se connecter
5.3 Moyenne

CVE-2026-119647 RuoYi-Vue-Plus through 6.0.0 Data-Scope Bypass via /system/user/list/dept/{deptId}

Description

RuoYi-Vue-Plus through 6.0.0 contains an authorization bypass vulnerability in SysUserServiceImpl.selectUserListByDept that allows authenticated users to read users of other departments. Users holding system:user:list under a department-restricted role can request GET /system/user/list/dept/{deptId} with any department id to obtain usernames, nicknames, account status, last login IP and time, and remarks.

Détail CVSS 4.0

Vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque
Réseau
Complexité
Faible
Prérequis d’attaque
Aucun
Privilèges requis
Faibles
Interaction
Aucune
Confidentialité
Faible
Intégrité
Aucun
Disponibilité
Aucun
Confidentialité des autres systèmes
Aucun
Intégrité des autres systèmes
Aucun
Disponibilité des autres systèmes
Aucun

Produits et versions touchés

Produit Versions touchées Corrigé en
RuoYi-Vue-Plus 6.0 premières → 6.0.0 Pas de correctif indiqué

Autres CVE de RuoYi-Vue-Plus

Les 6 CVE de RuoYi-Vue-Plus →
CVE-2026-110106 RuoYi-Vue-Plus through 6.0.0 contains an insecure direct object reference vulnerability that allows authenticated… 2.3 Faible CVE-2026-77795 A vulnerability was identified in Dromara RuoYi-Vue-Plus up to 5.6.2 5.3 Moyenne CVE-2026-58176 RuoYi-Vue-Plus through 5.6.2, fixed in commit 88d03d9, exposes workflow task management endpoints under /workflow/task… 6.5 Moyenne CVE-2026-2819 A vulnerability was identified in Dromara RuoYi-Vue-Plus up to 5.5.3 5.3 Moyenne
Suivre cette CVE