Уязвимость была обнаружена в yangzongzhuan RuoYi-Vue до 3.9.2. Это влияет на функцию fileDownload/resourceDownload файла ruoyi-admin/src/main/java/com/ruoyi/web/controller/common/CommonController.java компонента Common Download Endpoint. Выполнение манипуляций с аргументом имя_файла/ресурса приводит к обходу пути.
Атаку можно инициировать удаленно. Эксплойт был обнародован и может быть использован. Проект был заранее проинформирован о проблеме в отчете о проблеме, но пока не ответил.
Показать оригинальное описание (EN)
A vulnerability was found in yangzongzhuan RuoYi-Vue up to 3.9.2. This impacts the function fileDownload/resourceDownload of the file ruoyi-admin/src/main/java/com/ruoyi/web/controller/common/CommonController.java of the component Common Download Endpoint. Performing a manipulation of the argument fileName/resource results in path traversal. It is possible to initiate the attack remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Характеристики атаки
Последствия
Строка CVSS v4.0