CVE-2026-110215highCWE-862

CVE-2026-110215: fallo de gravedad alta en youlaitech youlai-boot

youlai-boot through 2.21.1 Missing Authorization in Role Menu Assignment Allows Privilege Escalation

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear youlai-boot

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.7epss 0.5%
youlai-boot through 2.21.1 contains a missing authorization vulnerability that allows authenticated users to assign arbitrary menu and button permissions to roles via PUT /api/v1/roles/{roleId}/menus. Low-privileged users such as the GUEST test account can grant all permissions to their own role, refreshing the Redis permission cache to gain administrator-equivalent access.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
youlaitech · youlai-boot
CVEs relacionadas — youlaitech youlai-boot

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-110216HIGHyoulai-boot through 2.21.1 Missing Authorization in User Status Update EndpointEPSS 0.4%CVE-2026-7672MEDIUMyoulaitech youlai-boot Users Endpoint UserController.java getUserList sql injectionEPSS 0.2%