Wukong HRM'de Yetkilendirme Açığı: Düşük Yetkili Çalışanlar Kritik Verileri Görüntüleyebiliyor
Yapay zeka üretimi11.10.2026
- CVE
- CVE-2026-108708
- Ciddiyet
- Yüksek (CVSS 8.8)
- Firma / ürün
- - / -
Özet
Wukong HRM sisteminde, EmployeeAspect bileşeni her çağırıcıya HR yönetici rolü atadığı için, düşük yetkili çalışanlar maaş bordroları, banka kartları ve kişisel verileri okuyabilir, düzenleyebilir ve şirket genelinde çalışan, departman ve sözleşme silebilir.
Ayrıntılar
NVD kaydına göre, Wukong HRM uygulamasının 186115e commit'inde yetkilendirme eksikliği bulunuyor. EmployeeAspect, her kullanıcıya HR yöneticisi rolü veriyor ve EmployeeUtil veri kapsamı kontrolleri tüm çalışanları kapsıyor. Bu durum, kimliği doğrulanmış düşük yetkili bir çalışanın maaş bordroları, maaş kayıtları, banka kartları ve kişisel bilgileri okumasına, banka kartlarını düzenlemesine ve şirket genelinde çalışan, departman ve sözleşme silmesine olanak tanıyor. Açığın ciddiyeti CVSS 8.8 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında hemen uygulayın ve sisteme erişimi mümkün olduğunca sınırlı tutun.