Podatności JeecgBoot

Problem w JeecgBoot v.3.9.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr files w module AI Chat.

JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.

Podatność Cross Site Scripting w JeecgBoot v.3.9.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez endpoint /airag/chat/upload.

W JeecgBoot do wersji 3.9.2 wykryto podatność w nieznanej funkcji pliku /airag/chat/send komponentu Anonymous Chat Attachment Parser, która umożliwia atak typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w JeecgBoot do wersji 3.9.2 umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach pełny dostęp do zarządzania poświadczeniami OpenAPI. Brak autoryzacji Shiro w kontrolerach OpenApiAuthController i OpenApiPermissionController pozwala na tworzenie, odczyt, aktualizację i usuwanie wszystkich par AK/SK, a punkt końcowy listy zwraca sekretne klucze w postaci jawnego tekstu.

W JeecgBoot do wersji 3.9.2 wykryto podatność na otwarte przekierowanie w komponencie logowania przez zewnętrzne serwisy (Third-Party Login). Atak wymaga socjotechniki i jest trudny do wykorzystania.

W systemie JeecgBoot do wersji 3.9.2 znaleziono podatność na ujawnienie informacji w funkcji queryPageList pliku SysUserController.java. Manipulacja argumentem 'salt' pozwala zdalnie uzyskać nieautoryzowany dostęp do danych.

W systemie jeecgboot do wersji 3.9.1 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji FileDownloadUtils.download2DiskFromNet pliku /airag/app/debug. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony. Wersja 3.9.2 zawiera poprawkę.

W systemie JeecgBoot do wersji 3.9.2 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w nieznanej funkcji pliku /airag/airagModel/test. Manipulacja argumentem baseUrl umożliwia zdalny atak. Exploit jest publicznie dostępny.

W systemie JeecgBoot do wersji 3.9.2 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji WordUtil.addImage pliku /airag/word/edit. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

W JeecgBoot do wersji 3.9.1 wykryto podatność w komponencie AiragModelController, gdzie manipulacja argumentami list/queryById prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie, a exploit jest publiczny. Problem rozwiązano w wersji 3.9.2.

W JeecgBoot do wersji 3.9.1 włącznie stwierdzono podatność w nieznanej funkcji pliku /sys/comment/add, która prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Aktualizacja do wersji 3.9.2 rozwiązuje problem.

Podatność w JeecgBoot do wersji 3.9.1 w funkcji LoginController.selectDepart w pliku /sys/selectDepart, polegająca na nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie.

W JeecgBoot do wersji 3.9.1 włącznie stwierdzono podatność w funkcji user.getUsername pliku /sys/user/login/setting/userEdit komponentu SysUser. Manipulacja argumentem userIdentity prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Aktualizacja do wersji 3.9.2 jest zalecana.

W JeecgBoot 3.9.1 w komponencie OpenAPI Endpoint w pliku /openapi/call/ występuje podatność na nieprawidłowe uwierzytelnienie. Atak zdalny o wysokiej złożoności, vendor nie odpowiedział.

W JeecgBoot 3.9.1 stwierdzono podatność na ominięcie autoryzacji w punkcie końcowym mLogin. Atak może być przeprowadzony zdalnie, ale jest uważany za trudny do wykorzystania.

JeecgBoot do wersji 3.9.1 włącznie zawiera podatność na Cross-Site Scripting w komponencie obsługi plików SVG. Nieznana funkcja w pliku CommonController.java umożliwia zdalne wstrzyknięcie skryptów. Exploit jest publicznie dostępny.

W JeecgBoot 3.9.0/3.9.1 wykryto brak uwierzytelnienia w module AI Chat w pliku JeecgBizToolsProvider.java. Atak może być przeprowadzony zdalnie. Łatka jest dostępna w repozytorium, ale nie została jeszcze włączona do oficjalnego wydania.