从这个网页截图中可以获取到以下关于漏洞的关键信息： CVE编号: CVE-2025-28412 漏洞类型: 错误的访问控制 (Incorrect Access Control) 产品供应商: yangzongzhuan 受影响的产品版本: RuoYi v4.8.0（最新版本，修复尚未发布） 受影响的组件: com.ruoyi.web.controller.system.SysNoticeController.editSave 攻击类型: 远程 影响: 权限提升 (Impact Escalation of Privileges) 为 true 攻击向量: 1. 攻击者是RuoYi系统的普通用户，可以访问SysNoticeController中的/editSave方法。 2. 攻击者可以发送请求修改系统范围的通知或公告，这应该仅限于管理员。 3. 由于应用程序没有执行适当的授权检查，攻击者可以编辑或替换官方公告，可能传播虚假信息、删除重要通知或破坏系统内的通信。 4. 这可能导致错误信息、安全策略违规和未经授权的系统修改，造成严重的安全和运营风险。 参考链接: https://github.com/yangzongzhuan/RuoYi 厂商确认或承认漏洞: 是 (true) 发现者: Haoran Zhao, Jinguo Yang, Lei Zhang, Secsys Lab, Fudan University 此外，还提供了漏洞的概念验证 (PoC)，展示了在 文件的第97行的 方法中，普通用户可以直接修改通知公告，表明存在垂直权限提升漏洞。