CVE-2026-108619
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na usuwanie szablonów wiadomości przez punkt końcowy DELETE /sys/message/sysMessageTemplate/deleteBatch. Atakujący mogą podać identyfikatory szablonów oddzielone przecinkami z niechronionego punktu listy, aby usunąć wszystkie wiersze sys_sms_template, co łamie powiadomienia oparte na szablonach, takie jak przypomnienia przepływu pracy.
Ocena ryzyka
Ryzyko obejmuje zakłócenie działania powiadomień, co może prowadzić do opóźnień w procesach biznesowych lub braku ważnych alertów.
Rekomendacja
Zaleca się aktualizację JeecgBoot do wersji z poprawką oraz zabezpieczenie punktu deleteBatch przed nieautoryzowanym dostępem.
Inne podatności w JeecgBoot
Zobacz wszystkie- CVE-2026-75411Krytyczne
JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.
- CVE-2026-67926Krytyczne
Problem w JeecgBoot v.3.9.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr files w module AI Chat.
- CVE-2026-108891Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserDetailByUserId kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt danych innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać prawdziwe nazwiska, nazwy użytkowników, adresy e-mail, numery telefonów, daty urodzenia, numery pracowników, ścieżki działów i stanowiska.
- CVE-2026-108888Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysDepartRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport ról działów. Atakujący z niskimi uprawnieniami posiadający tylko domyślną minimalną rolę mogą wywołać /sys/sysDepartRole/exportXls, aby pobrać wszystkie rekordy sys_depart_role, w tym nazwy ról, kody, opisy i użytkowników tworzących.
- CVE-2026-108887Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysCommentController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich komentarzy. Atakujący z niskimi uprawnieniami mogą zażądać /sys/comment/exportXls, aby pobrać każdy wiersz sys_comment, w tym tekst komentarza i identyfikatory użytkowników, do rekordów, do których nie mają dostępu.
- CVE-2026-108886Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryChildrenByUsername kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na pobranie rekordów kont innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać nazwiska, adresy e-mail, numery telefonów, numery pracowników, przypisania do działów i listy pracowników działów, którymi kierują ci użytkownicy.
- CVE-2026-108885Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą wysyłać żądania DELETE z dowolnymi wartościami id, aby usunąć dowolny wiersz sys_sms, wymazując zapisy wysłanych powiadomień bez sprawdzania własności.
- CVE-2026-108884Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie szablonów wiadomości. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory szablonów z niechronionego endpointu listy i usunąć dostarczone szablony powiadomień, powodując awarię powiadomień systemowych i przypomnień o przepływach pracy.
- CVE-2026-108883Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editThirdAppConfig, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację konfiguracji aplikacji trzecich. Atakujący z niskimi uprawnieniami mogą zastąpić client id, client secret, agent id i corp id integracji DingTalk, WeCom lub Feishu, aby przekierować synchronizację katalogów i wiadomości do aplikacji kontrolowanych przez atakującego lub je zepsuć.
- CVE-2026-108882Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze removeUserPosition kontrolera SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie członków stanowisk. Atakujący z niskimi uprawnieniami mogą wysyłać żądania DELETE z dowolnymi userIds i positionId, aby usunąć wiersze sys_user_position, odłączając użytkowników od stanowisk bez rejestrowania.
Oryginalny opis (angielski, źródło NVD)
JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to delete message templates via the DELETE /sys/message/sysMessageTemplate/deleteBatch endpoint. Attackers can supply comma-separated template ids from the unguarded list endpoint to delete all sys_sms_template rows, breaking template-based notifications such as workflow reminders.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS