CVE-2026-119647mediumCWE-639

CVE-2026-119647: falha de média gravidade em dromara RuoYi-Vue-Plus

RuoYi-Vue-Plus through 6.0.0 Data-Scope Bypass via /system/user/list/dept/{deptId}

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar RuoYi-Vue-Plus

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.3%
RuoYi-Vue-Plus through 6.0.0 contains an authorization bypass vulnerability in SysUserServiceImpl.selectUserListByDept that allows authenticated users to read users of other departments. Users holding system:user:list under a department-restricted role can request GET /system/user/list/dept/{deptId} with any department id to obtain usernames, nicknames, account status, last login IP and time, and remarks.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
dromara · RuoYi-Vue-Plus
CVEs relacionadas — dromara RuoYi-Vue-Plus

No mesmo produto, das mais perigosas para as menos.

CVE-2026-110106LOWRuoYi-Vue-Plus through 6.0.0 IDOR via DELETE /auth/unlock/{socialId}EPSS 0.3%CVE-2026-58176HIGHRuoYi-Vue-Plus - Missing Authorization on Workflow Task Management EndpointsEPSS 0.3%