漏洞通告 | 用友YonBIP（R6旗舰版）任意用户密码重置漏洞

发布于 作者:

原文链接: https://mp.weixin.qq.com/s?__biz=Mzg5MTc3ODY4Mw==&mid=2247507850&idx=1&sn=92e3b86bb828888ef9f72653adc6c80c

漏洞通告 | 用友YonBIP（R6旗舰版）任意用户密码重置漏洞

原创 微步情报局 微步在线研究响应中心 2025-07-16 01:01

漏洞通告 | 用友YonBIP（R6旗舰版）任意用户密码重置漏洞

漏洞概况

用友YonBIP R6 旗舰版是用友推出的全球领先的企业数智化平台与应用软件，旨在帮助企业实现数字化转型，成就数智企业。

微步漏洞团队通过X漏洞奖励计划获取到用友YonBIP R6旗舰版任意用户密码重置漏洞情报（https://x.threatbook.com/v5/vul/XVE-2025-25494）。
由于密码重置功能设计缺陷，导致攻击者可绕过邮箱验证码，直接重置用户密码。
该漏洞利用方式简单
，
建议受影响用户尽快修复
。

漏洞处置优先级(VPT)

综合处置优先级：高

基本信息
微步编号

XVE-2025-25494
漏洞类型
逻辑缺陷
利用条件评估
利用漏洞的网络条件
远程
是否需要绕过安全机制
不需要
对被攻击系统的需求
默认配置
利用漏洞的权限要求
无需权限
是否需要受害者配合
否
利用情报
POC是否公开
否
已知利用行为
否

漏洞影响范围

产品名称

用友网络科技股份有限公司– YonBIP R6旗舰版
受影响版本

YonBIP V3.0(R6_2407)
有无修复补丁
有

漏洞复现

漏洞通告 | 用友YonBIP（R6旗舰版）任意用户密码重置漏洞

修复方案

官方修复方案

用友安全中心已发布漏洞公告，请尽快前往下载补丁进行更新：

https://security.yonyou.com/#/noticeInfo?id=709

临时缓解措施
– 可配置防护策略，限制访问漏洞相关路径。完整漏洞利用路径请通过微步漏洞情报查询。

  • 如非必要，避免将资产暴露在互联网。

微步产品侧支持情况

  • 微步威胁感知平台TDP
     已支持检测，检测ID：S3100164693，模型/规则高于20250715000000可检出。

漏洞通告 | 用友YonBIP（R6旗舰版）任意用户密码重置漏洞

  • END –

//  

微步漏洞情报订阅服务

微步提供漏洞情报订阅服务，精准、高效助力企业漏洞运营：
– 提供高价值漏洞情报，具备及时、准确、全面和可操作性，帮助企业高效应对漏洞应急与日常运营难题；

  • 可实现对高威胁漏洞提前掌握，以最快的效率解决信息差问题，缩短漏洞运营MTTR；

  • 提供漏洞完整的技术细节，更贴近用户漏洞处置的落地；

  • 将漏洞与威胁事件库、APT组织和黑产团伙攻击大数据、网络空间测绘等结合，对漏洞的实际风险进行持续动态更新
    。

扫码在线沟通

↓
↓↓

漏洞通告 | 用友YonBIP（R6旗舰版）任意用户密码重置漏洞

漏洞通告 | 用友YonBIP（R6旗舰版）任意用户密码重置漏洞

点此电话咨询

X漏洞奖励计划

“X漏洞奖励计划”是微步X情报社区推出的一款
针对未公开
漏洞的奖励计划，我们鼓励白帽子提交挖掘到的0day漏洞，并给予白帽子可观的奖励。我们期望通过该计划与白帽子共同努力，提升0day防御能力，守护数字世界安全。

活动详情：
https://x.threatbook.com/v5/vulReward