CVE-2026-108873
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami modyfikować dowolny departament przez wywołanie PUT /sys/user/doUpdateDepartInfo. Atakujący mogą podać identyfikator departamentu, aby zmienić jego nazwę lub nadrzędny departament oraz zastąpić lub usunąć jego kierowników bez sprawdzania własności lub dzierżawy.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację struktury departamentów, co może prowadzić do naruszenia integralności organizacyjnej i kontroli dostępu.
Rekomendacja
Zaleca się wprowadzenie kontroli autoryzacji w punkcie doUpdateDepartInfo oraz weryfikację uprawnień przed modyfikacją departamentów.
Inne podatności w JeecgBoot
Zobacz wszystkie- CVE-2026-75411Krytyczne
JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.
- CVE-2026-67926Krytyczne
Problem w JeecgBoot v.3.9.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr files w module AI Chat.
- CVE-2026-108891Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserDetailByUserId kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt danych innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać prawdziwe nazwiska, nazwy użytkowników, adresy e-mail, numery telefonów, daty urodzenia, numery pracowników, ścieżki działów i stanowiska.
- CVE-2026-108888Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysDepartRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport ról działów. Atakujący z niskimi uprawnieniami posiadający tylko domyślną minimalną rolę mogą wywołać /sys/sysDepartRole/exportXls, aby pobrać wszystkie rekordy sys_depart_role, w tym nazwy ról, kody, opisy i użytkowników tworzących.
- CVE-2026-108887Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysCommentController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich komentarzy. Atakujący z niskimi uprawnieniami mogą zażądać /sys/comment/exportXls, aby pobrać każdy wiersz sys_comment, w tym tekst komentarza i identyfikatory użytkowników, do rekordów, do których nie mają dostępu.
- CVE-2026-108886Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryChildrenByUsername kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na pobranie rekordów kont innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać nazwiska, adresy e-mail, numery telefonów, numery pracowników, przypisania do działów i listy pracowników działów, którymi kierują ci użytkownicy.
- CVE-2026-108885Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą wysyłać żądania DELETE z dowolnymi wartościami id, aby usunąć dowolny wiersz sys_sms, wymazując zapisy wysłanych powiadomień bez sprawdzania własności.
- CVE-2026-108884Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie szablonów wiadomości. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory szablonów z niechronionego endpointu listy i usunąć dostarczone szablony powiadomień, powodując awarię powiadomień systemowych i przypomnień o przepływach pracy.
- CVE-2026-108883Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editThirdAppConfig, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację konfiguracji aplikacji trzecich. Atakujący z niskimi uprawnieniami mogą zastąpić client id, client secret, agent id i corp id integracji DingTalk, WeCom lub Feishu, aby przekierować synchronizację katalogów i wiadomości do aplikacji kontrolowanych przez atakującego lub je zepsuć.
- CVE-2026-108882Średnie
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze removeUserPosition kontrolera SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie członków stanowisk. Atakujący z niskimi uprawnieniami mogą wysyłać żądania DELETE z dowolnymi userIds i positionId, aby usunąć wiersze sys_user_position, odłączając użytkowników od stanowisk bez rejestrowania.
Oryginalny opis (angielski, źródło NVD)
JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to modify any department by calling PUT /sys/user/doUpdateDepartInfo. Attackers can supply a department id to rename or re-parent it and replace or remove its department heads without ownership or tenant checks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS