CVE-2026-58377
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w JeecgBoot do wersji 3.9.2 umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach pełny dostęp do zarządzania poświadczeniami OpenAPI. Brak autoryzacji Shiro w kontrolerach OpenApiAuthController i OpenApiPermissionController pozwala na tworzenie, odczyt, aktualizację i usuwanie wszystkich par AK/SK, a punkt końcowy listy zwraca sekretne klucze w postaci jawnego tekstu.
Ocena ryzyka
Ryzyko obejmuje kradzież poświadczeń API i nieautoryzowane wywoływanie interfejsu OpenAPI, co może prowadzić do wycieku danych, nieautoryzowanego dostępu do zasobów i naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować JeecgBoot do najnowszej wersji, która zawiera poprawkę usuwającą lukę w kontroli dostępu. Dodatkowo, wdrożyć odpowiednie adnotacje autoryzacyjne Shiro dla wszystkich endpointów OpenAPI.
Inne podatności w JeecgBoot
Zobacz wszystkie- CVE-2026-67926Krytyczne
Problem w JeecgBoot v.3.9.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr files w module AI Chat.
- CVE-2026-75411Niskie ryzyko· EPSS 13%
JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.
- CVE-2026-67925Średnie
Podatność Cross Site Scripting w JeecgBoot v.3.9.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez endpoint /airag/chat/upload.
- CVE-2026-19000Wysokie
W JeecgBoot do wersji 3.9.2 wykryto podatność w nieznanej funkcji pliku /airag/chat/send komponentu Anonymous Chat Attachment Parser, która umożliwia atak typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-11502Niskie
W JeecgBoot do wersji 3.9.2 wykryto podatność na otwarte przekierowanie w komponencie logowania przez zewnętrzne serwisy (Third-Party Login). Atak wymaga socjotechniki i jest trudny do wykorzystania.
- CVE-2026-11464Niskie
W systemie JeecgBoot do wersji 3.9.2 znaleziono podatność na ujawnienie informacji w funkcji queryPageList pliku SysUserController.java. Manipulacja argumentem 'salt' pozwala zdalnie uzyskać nieautoryzowany dostęp do danych.
- CVE-2026-10241Średnie
W systemie jeecgboot do wersji 3.9.1 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji FileDownloadUtils.download2DiskFromNet pliku /airag/app/debug. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony. Wersja 3.9.2 zawiera poprawkę.
- CVE-2026-10240Średnie
W systemie JeecgBoot do wersji 3.9.2 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w nieznanej funkcji pliku /airag/airagModel/test. Manipulacja argumentem baseUrl umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2026-10239Średnie
W systemie JeecgBoot do wersji 3.9.2 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji WordUtil.addImage pliku /airag/word/edit. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
- CVE-2026-9604Średnie
W JeecgBoot do wersji 3.9.1 wykryto podatność w komponencie AiragModelController, gdzie manipulacja argumentami list/queryById prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie, a exploit jest publiczny. Problem rozwiązano w wersji 3.9.2.
Oryginalny opis (angielski, źródło NVD)
JeecgBoot through 3.9.2 contains a broken access control vulnerability that allows authenticated low-privilege users to perform full create, read, update, and delete operations on OpenAPI credentials by accessing the OpenApiAuthController and OpenApiPermissionController endpoints which lack Shiro authorization annotations. Attackers can exploit the unenforced access controls to list, add, edit, and delete all AK/SK credential pairs, with the list endpoint returning secret keys in plaintext, enabling credential theft and unauthorized invocation of the OpenAPI surface.