CVE-2026-110107: RuoYi-Cloud-Plus IDOR in social-account unbind endpoint allows unauthorized account unbinding

CVE-2026-110107: RuoYi-Cloud-Plus: ソーシャルアカウントの紐付け解除エンドポイントが主キーにより第三者ログインの紐付けを削除する際、所有者確認を行わないため、認証済みユーザーは他のユーザーのアカウントの紐付けを解除できる 漏洞概述 RuoYi-Cloud-Plus は、マルチユーザー向けマイクロサービス管理プラットフォームです。認証は Spring Cloud ゲートウェイ上で Sa-Token によって処理され、ゲートウェイは認証済みのリクエストをバックエンドサービスに転送します。ユーザーは第三者身份（WeChat、Gitee、GitHub、DingTalk、MaxKey、TopIAM など）を紐付けることができ、紐付け情報は サービス内の テーブルに格納されます。 解绑エンドポイント は に位置し、権限注釈が付与されておらず、所有者チェックも実行されません。このエンドポイントはパスパラメータで渡された を直接 の Dubbo サービスメソッド に渡します。このメソッドは に転送され、ここで が実行されます。この削除処理は主鍵のみでフィルタリングされ、呼び出し元に制限をかけることはありません。また、マッパーにはデータ権限注釈が存在せず、本バージョンではテナントごとのデータスコープも適用されていません。メソッド名に "Valid" という単語が含まれていますが、実装では検証が行われておらず、関連する フックは空のスタブとなっています。 この境界が破綻した理由は、同一コードベースにおける読み取り操作では厳格な制限が適用されているためです。読み取りパス では、 によって結果が現在のユーザーに制限され、ユーザーは自身の紐付け情報のみを確認できます。しかし、解绑パスには同等のスコープ制限が存在しません。したがって、最低権限のユーザーを含むすべての認証済みアカウントは、対象となる紐付けの を提供することで、他の任意のユーザーのソーシャルログイン紐付けを削除できます。実際の影響度は、 がスノーフレーク値であり、他のユーザーに対して HTTP エンドポイントを介して公開されていないため制限されます。そのため、攻撃者は単純なシーケンシャルな列挙ではなく、ターゲットの ID を特定する必要があります。 影響範囲 プロジェクト: dromara/RuoYi-Cloud-Plus, microservice admin system (SpringCloudAlibaba, Dubbo3, Sa-Token, MyBatis-Plus), third-party social-login binding 影響バージョン: v6.0.0 (公式最新リリース、コミット 27a79a19a19e1928aa33799d8b69c7284c8cf631)。それ以前のバージョンは個別にバイセクトされていません。 クラス: CWE-639 Authorization Bypass Through User-Controlled Key (IDOR), CWE-862 Missing Authorization ステータス: VulnCheck 経由で調整開示進行中。CVE はまだ割り当てられていません。 修复方案 修复建议: 解绑エンドポイントに権限チェックと所有者検証を追加し、ユーザーが自身のソーシャルログイン紐付けのみを解除できるようにします。 コード示例: 详细攻击步骤 1. 登录: を使用して、有効なクライアントとアカウントでログインし、返されるトークンを保持します。以下の呼び出しにおいて、トークンを ヘッダーとして送信します。ゲートウェイはホワイトリスト外のパス上でトークンを受付けます。 2. 获取目标绑定 ID: はスノーフレーク値であるため、1 から単純にカウントすることはできません。実際の攻撃者は、側面チャネル（サイドチャネル）から候補を推測します。例えば、操作ログに記録された以前の解绑 URL、エラーエクスポートで漏洩した値、または被害者のアカウントが解绑された時間枠に絞り込んだスノーフレークの推測などです。本脆弱性は ID の取得方法に依存しません。 3. 删除受害者绑定: 例（未実行）： ゲートウェイは を実行し、 に転送します。 は Dubbo メソッド を呼び出し、ここで が実行されます。一致する 行が削除されます。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-110107: RuoYi-Cloud-Plus IDOR in social-account unbind endpoint allows unauthorized account unbinding

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-110107: RuoYi-Cloud-Plus IDOR in social-account unbind endpoint allows unauthorized account unbinding

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！