CVE-2026-58448: fallo de gravedad alta en YunaiV yudao-cloud
yudao-cloud < 2026.06 - BPM Module Broken Access Control via process-instance API
Publicada el · Actualizada el
41Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 7.1epss 0.4%
probabilidad de explotación
0.4%top 68% de las CVE
explotación observada
noninguna fuente lo reporta
1 exploit(s) público(s)
yudao-cloud before 2026.06 contains a broken access control vulnerability in the BPM module that allows any authenticated user to access arbitrary process instance records by supplying a caller-controlled process-instance identifier to an unprotected endpoint lacking the @PreAuthorize annotation. Attackers can query any process-instance identifier through the unguarded GET endpoint to read sensitive workflow data including submitted form variables, approver identities, approval and rejection comments, and process BPMN XML without ownership or tenant party verification.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Productos afectados
YunaiV · yudao-cloudPoCs públicas encontradas — 1
cve_referencegithub.com/YunaiV/yudao-cloud/issues/315no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — YunaiV yudao-cloud
En el mismo producto, de las más peligrosas a las menos.
CVE-2026-7710MEDIUMYunaiV yudao-cloud Ruoyi-Vue-Pro JwtAuthenticationTokenFilter.java doFilterInternal improper authenticationEPSS 0.7%CVE-2026-7679MEDIUMYunaiV yudao-cloud OAuth2TokenServiceImpl.java getAccessToken improper authenticationEPSS 0.7%CVE-2026-5147MEDIUMYunaiV yudao-cloud get-by-website sql injectionEPSS 0.4%CVE-2026-9464MEDIUMYunaiV yudao-cloud Admin API Endpoint create IotDataSinkHttpConfig server-side request forgeryEPSS 0.4%CVE-2026-5148MEDIUMYunaiV yudao-cloud page sql injectionEPSS 0.3%CVE-2025-10277MEDIUMYunaiV yudao-cloud submit improper authorizationEPSS 0.3%