Summary
Vulnerability in ruoyi-vue-pro (CVE-2026-57950). Confidential information can be exposed externally.
Original description
The description as published by the source.
ruoyi-vue-pro through 2026.05, fixed in commit 5d1fd70 contains a broken access control vulnerability in ErpSaleOrderController that allows attackers with erp:sale-out permissions to gain unauthorized access to sale order operations by exploiting an incorrect permission namespace enforcement. Attackers holding shipment-level permissions can perform unauthorized create, update, delete, and read operations on financially sensitive sale orders due to the controller enforcing erp:sale-out instead of the intended erp:sale-order namespace.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ruoyi-vue-pro 2026.05までのバージョンに、権限が不適切に設定されたアクセス制御の脆弱性があります。この脆弱性により、攻撃者は不正な金融取引の作成、更新、削除、読み取りを行うことができます。この問題はアクセス制御の命名スペースが誤って実装されているために発生します。
ruoyi-vue-proにおける不適切なアクセス制御の脆弱性。
ErpSaleOrderController内で問題が発生している。
攻撃者が不正に販売注文操作が可能になる点で深刻です。
コミット5d1fd70で修正されたバージョンにアップデートすること。
情報なし
権限設定を見直し、アクセス制御が適切に行われていることを確認する。
References
- web nvd.nist.gov
- web github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com