CVE-2026-108633
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami tworzyć powiązania uprawnień działów poprzez POST /sys/sysDepartPermission/add. Atakujący może przesłać dowolne pola departId, permissionId i dataRuleIds, aby przypisać uprawnienia do menu, przycisków i reguł danych do dowolnego działu w celu delegowania ich rolom.
Ocena ryzyka
Nieautoryzowane tworzenie powiązań uprawnień może prowadzić do eskalacji uprawnień i przyznania nieuprawnionego dostępu do funkcji. Może to naruszyć integralność modelu uprawnień i umożliwić dalsze ataki.
Rekomendacja
Należy zaktualizować JeecgBoot do wersji nowszej niż 3.9.5 lub wdrożyć poprawkę producenta. Zaleca się również dodanie kontroli uprawnień do endpointu add i weryfikację przypisań uprawnień.
Inne podatności w JeecgBoot
Zobacz wszystkie- CVE-2026-75411Krytyczne
JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.
- CVE-2026-67926Krytyczne
Problem w JeecgBoot v.3.9.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr files w module AI Chat.
- CVE-2026-108891Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserDetailByUserId kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt danych innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać prawdziwe nazwiska, nazwy użytkowników, adresy e-mail, numery telefonów, daty urodzenia, numery pracowników, ścieżki działów i stanowiska.
- CVE-2026-108888Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysDepartRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport ról działów. Atakujący z niskimi uprawnieniami posiadający tylko domyślną minimalną rolę mogą wywołać /sys/sysDepartRole/exportXls, aby pobrać wszystkie rekordy sys_depart_role, w tym nazwy ról, kody, opisy i użytkowników tworzących.
- CVE-2026-108887Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysCommentController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich komentarzy. Atakujący z niskimi uprawnieniami mogą zażądać /sys/comment/exportXls, aby pobrać każdy wiersz sys_comment, w tym tekst komentarza i identyfikatory użytkowników, do rekordów, do których nie mają dostępu.
- CVE-2026-108886Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryChildrenByUsername kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na pobranie rekordów kont innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać nazwiska, adresy e-mail, numery telefonów, numery pracowników, przypisania do działów i listy pracowników działów, którymi kierują ci użytkownicy.
- CVE-2026-108885Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą wysyłać żądania DELETE z dowolnymi wartościami id, aby usunąć dowolny wiersz sys_sms, wymazując zapisy wysłanych powiadomień bez sprawdzania własności.
- CVE-2026-108884Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie szablonów wiadomości. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory szablonów z niechronionego endpointu listy i usunąć dostarczone szablony powiadomień, powodując awarię powiadomień systemowych i przypomnień o przepływach pracy.
- CVE-2026-108883Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editThirdAppConfig, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację konfiguracji aplikacji trzecich. Atakujący z niskimi uprawnieniami mogą zastąpić client id, client secret, agent id i corp id integracji DingTalk, WeCom lub Feishu, aby przekierować synchronizację katalogów i wiadomości do aplikacji kontrolowanych przez atakującego lub je zepsuć.
- CVE-2026-108882Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze removeUserPosition kontrolera SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie członków stanowisk. Atakujący z niskimi uprawnieniami mogą wysyłać żądania DELETE z dowolnymi userIds i positionId, aby usunąć wiersze sys_user_position, odłączając użytkowników od stanowisk bez rejestrowania.
Oryginalny opis (angielski, źródło NVD)
JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to create department permission bindings via POST /sys/sysDepartPermission/add. Attackers can submit arbitrary departId, permissionId and dataRuleIds fields to attach menu, button and data rule grants to any department for delegation to its roles.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS