Een kritiek beveiligingslek, aangeduid als CVE-2025-7906, is gevonden in yangzongzhuan RuoYi tot versie 4.8.1. Deze kwetsbaarheid, verbonden met de uploadFile functie in
ruoyi-admin/src/main/java/com/ruoyi/web/controller/common/CommonController.java
, staat aanvallers toe om bestanden zonder restricties te uploaden. Deze aanval kan op afstand worden uitgevoerd, waarbij aanvallers toegang kunnen krijgen tot uw systemen zonder dat u het merkt.
Overzicht
De kwetsbaarheid betreft onbeperkte bestand uploads (CWE-434) en onjuiste toegangscontroles (CWE-284) in RuoYi, beschikbaar voor versies 4.8.0 en 4.8.1. Naar verwachting zal deze kwetsbaarheid in de toekomst verder worden misbruikt, gezien de exploit publiekelijk is gemaakt.
Aanbevelingen
- Update RuoYi naar een versie hoger dan 4.8.1 zodra deze beschikbaar komt.
- Controleer uw systemen op ongeoorloofde bestanden en toegangspogingen.
Bronnen
- VDB-317021 | yangzongzhuan RuoYi CommonController.java uploadFile unrestricted upload
- VDB-317021 | CTI Indicators (IOB, IOC, TTP, IOA)
- Submit #618361 | RuoYi github.com bron
- RuoYi GitHub issue
Vraag en Antwoord
Wat is CVE-2025-7906?
Het is een kritiek beveiligingslek in RuoYi waardoor onbeperkte upload van bestanden mogelijk is, ontdekt in juli 2025.
Welke systemen zijn kwetsbaar voor CVE-2025-7906?
Systemen die RuoYi versies 4.8.0 en 4.8.1 gebruiken zijn kwetsbaar.
Bestaat er al een patch of beveiligingsupdate?
Op dit moment is er geen officieel patch beschikbaar. Het is aan te raden waakzaam te blijven voor updates van de leverancier.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan zonder toestemming bestanden uploaden, wat kan leiden tot ongeoorloofde toegang of manipulatie van uw systeem.
