CVE-2026-108872
ŚrednieCVSS 4.3Streszczenie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze batchEditUsers w SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi edytować przypisania użytkowników do departamentów. Atakujący z niskimi uprawnieniami mogą wysyłać żądania PUT do /sys/user/batchEditUsers z dowolnymi identyfikatorami użytkowników i departamentów, aby przenosić użytkowników, w tym administratorów, między departamentami i nadpisywać stanowiska.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane przenoszenie użytkowników, w tym administratorów, co może prowadzić do naruszenia kontroli dostępu i eskalacji uprawnień.
Rekomendacja
Zaleca się dodanie kontroli autoryzacji do handlera batchEditUsers oraz weryfikację uprawnień przed edycją przypisań departamentów.
Inne podatności w JeecgBoot
Zobacz wszystkie- CVE-2026-75411Krytyczne
JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.
- CVE-2026-67926Krytyczne
Problem w JeecgBoot v.3.9.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr files w module AI Chat.
- CVE-2026-108891Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserDetailByUserId kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt danych innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać prawdziwe nazwiska, nazwy użytkowników, adresy e-mail, numery telefonów, daty urodzenia, numery pracowników, ścieżki działów i stanowiska.
- CVE-2026-108888Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysDepartRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport ról działów. Atakujący z niskimi uprawnieniami posiadający tylko domyślną minimalną rolę mogą wywołać /sys/sysDepartRole/exportXls, aby pobrać wszystkie rekordy sys_depart_role, w tym nazwy ról, kody, opisy i użytkowników tworzących.
- CVE-2026-108887Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysCommentController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich komentarzy. Atakujący z niskimi uprawnieniami mogą zażądać /sys/comment/exportXls, aby pobrać każdy wiersz sys_comment, w tym tekst komentarza i identyfikatory użytkowników, do rekordów, do których nie mają dostępu.
- CVE-2026-108886Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryChildrenByUsername kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na pobranie rekordów kont innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać nazwiska, adresy e-mail, numery telefonów, numery pracowników, przypisania do działów i listy pracowników działów, którymi kierują ci użytkownicy.
- CVE-2026-108885Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą wysyłać żądania DELETE z dowolnymi wartościami id, aby usunąć dowolny wiersz sys_sms, wymazując zapisy wysłanych powiadomień bez sprawdzania własności.
- CVE-2026-108884Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie szablonów wiadomości. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory szablonów z niechronionego endpointu listy i usunąć dostarczone szablony powiadomień, powodując awarię powiadomień systemowych i przypomnień o przepływach pracy.
- CVE-2026-108883Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editThirdAppConfig, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację konfiguracji aplikacji trzecich. Atakujący z niskimi uprawnieniami mogą zastąpić client id, client secret, agent id i corp id integracji DingTalk, WeCom lub Feishu, aby przekierować synchronizację katalogów i wiadomości do aplikacji kontrolowanych przez atakującego lub je zepsuć.
- CVE-2026-108882Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze removeUserPosition kontrolera SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie członków stanowisk. Atakujący z niskimi uprawnieniami mogą wysyłać żądania DELETE z dowolnymi userIds i positionId, aby usunąć wiersze sys_user_position, odłączając użytkowników od stanowisk bez rejestrowania.
Oryginalny opis (angielski, źródło NVD)
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the batchEditUsers handler of SysUserController that allows any authenticated user to edit user department assignments. Low-privileged attackers can send PUT requests to /sys/user/batchEditUsers with arbitrary user and department ids to move users, including administrators, between departments and overwrite positions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS