Podatności JeecgBoot

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpointcie GET /sys/tenant/getTenantPackApplyUsers kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt aplikacji administratorów dzierżawców. Atakujący z niskimi uprawnieniami może iterować parametr tenantId, aby pobrać nazwy użytkowników, prawdziwe imiona, numery telefonów i działy oczekujących kandydatów dla dowolnego dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera QuartzJobController, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami na odczyt rekordów zaplanowanych zadań. Atakujący może wysłać żądanie GET /sys/quartzJob/queryById z identyfikatorem zadania, aby pobrać nazwy klas zadań, wyrażenia cron, parametry zadań i status zarezerwowane dla administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera OssFileController, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami na odczyt rekordów plików w pamięci obiektowej. Atakujący znający identyfikator rekordu może wysłać żądanie GET /sys/oss/file/queryById, aby uzyskać oryginalne nazwy plików i bezpośrednie adresy URL przechowywania plików przesłanych przez innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryPageList kontrolera OpenApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi na wyświetlanie definicji rejestru OpenAPI. Atakujący z niskimi uprawnieniami może wysłać żądanie GET /openapi/list, aby odczytać wirtualne ścieżki, wewnętrzne adresy URL źródła, białe listy adresów IP oraz szablony nagłówków i parametrów przeznaczone dla administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze updateAvatar kontrolera SystemApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi na zmianę awatarów innych użytkowników. Atakujący z niskimi uprawnieniami może wysłać żądania PUT z identyfikatorem docelowego użytkownika i dowolną wartością, taką jak kontrolowany przez atakującego adres URL obrazu, aby zastąpić awatary administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getRolesByUserId kontrolera SystemApiController, która pozwala uwierzytelnionym użytkownikom na pobieranie kodów ról dowolnego użytkownika. Atakujący z niskimi uprawnieniami może podać dowolne wartości userId do GET /sys/api/getRolesByUserId, aby wyliczyć przypisania ról i zidentyfikować konta administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserPermissionSet kontrolera SystemApiController. Każdy uwierzytelniony użytkownik może podać dowolny userId i odczytać pełny zestaw uprawnień innego konta, w tym administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryUserRolesById kontrolera SystemApiController. Uwierzytelnieni użytkownicy mogą odczytać kody ról dowolnego użytkownika, podając jego userId.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpoincie GET /sys/api/getDynamicDbSourceByCode kontrolera SystemApiController, który nie ma adnotacji uprawnień ani ról Shiro. Każdy uwierzytelniony niski uprzywilejowaniem użytkownik może podać kody źródeł danych w parametrze dbSourceCode, aby uzyskać adresy URL JDBC, nazwy użytkowników i odszyfrowane hasła do baz danych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala niski uprzywilejowaniem uwierzytelnionym użytkownikom tworzyć reguły walidacji przez handler importExcel kontrolera SysCheckRuleController. Atakujący mogą przesłać spreparowany skoroszyt Excel, aby ominąć uprawnienie system:checkRule:add i masowo tworzyć systemowe reguły walidacji kodowania z dowolnymi wzorcami wyrażeń regularnych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze importExcel kontrolera SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi importować wpisy słownika kategorii. Niski uprzywilejowaniem atakujący mogą przesłać spreparowane skoroszyty Excel, aby masowo wstawiać dowolne węzły do systemowego słownika sys_category, w tym pod istniejącymi węzłami nadrzędnymi.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi edytować węzły słownika kategorii przez /sys/category/edit. Niski uprzywilejowaniem atakujący mogą wysyłać żądania POST lub PUT, podając identyfikator węzła, aby zmienić nazwę, kod lub przenieść systemowe węzły sys_category, modyfikując wartości klasyfikacji używane w formularzach.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać węzły słownika kategorii. Niski uprzywilejowaniem atakujący mogą uzyskać identyfikatory węzłów z niechronionych endpointów rootList i childList i usuwać całe poddrzewa sys_category, psując zależne formularze i pola słownikowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala niski uprzywilejowaniem uwierzytelnionym użytkownikom usuwać wpisy słownika kategorii przez DELETE /sys/category/deleteBatch. Atakujący mogą uzyskać identyfikatory węzłów z niechronionych endpointów rootList i childList i przesłać je, aby rekursywnie usuwać całe poddrzewa sys_category, psując zależne formularze i pola słownikowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysAnnouncementSendController, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy dostarczania wiadomości innych użytkowników. Atakujący mogą uzyskać identyfikatory dostarczenia z GET /sys/sysAnnouncementSend/list i wysyłać żądania edycji, które nadpisują flagi odczytu, identyfikatory odbiorców lub powiązane ogłoszenia, aby ukryć wiadomości przed odbiorcami.

JeecgBoot do wersji 3.9.5 zawiera podatność niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom czytać wiadomości innych użytkowników w aplikacji przez handler getOne kontrolera SysAnnouncementSendController. Atakujący mogą uzyskać identyfikatory rekordów dostarczenia z niechronionego endpointu /sys/sysAnnouncementSend/list i podać je jako parametr sendId, aby odczytać tytuły, treści, nadawców i odbiorców wiadomości.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera SysDepartRoleController, który nie posiada adnotacji uprawnień Shiro. Uwierzytelniony atakujący z niskimi uprawnieniami może wysłać żądanie GET /sys/sysDepartRole/queryById z dowolnym id, aby odczytać nazwy ról działów, kody, opisy i pola audytowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi trwale usuwać słowniki danych poprzez handler deletePhysic kontrolera SysDictController. Atakujący z niskimi uprawnieniami może wysyłać żądania DELETE do /sys/dict/deletePhysic/{id}, aby nieodwracalnie usunąć aktywne słowniki i wszystkie ich pozycje, omijając kosz.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać członkostwa w grupach poprzez handler deleteGroupUser w SysUserController. Atakujący może wysyłać żądania DELETE z dowolnymi wartościami groupId i userId, aby usunąć dowolnego użytkownika z dowolnej grupy zarządzanej przez administratora, bez sprawdzania właściciela lub dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać członków grup użytkowników poprzez wywołanie DELETE /sys/user/deleteUserGroupBatch. Atakujący może podać dowolny groupId i listę userIds oddzielonych przecinkami, aby usunąć wiersze sys_ugroup_user bez sprawdzania uprawnień lub dzierżawcy, manipulując grupami zarządzanymi przez administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze appImportExcel kontrolera SysDepartController, która pozwala każdemu uwierzytelnionemu użytkownikowi importować działy. Atakujący z niskimi uprawnieniami może przesłać spreparowany skoroszyt Excel do POST /sys/sysDepart/appImportExcel, aby tworzyć dowolne rekordy sys_depart w drzewie działów zarządzanym przez administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpoincie GET /sys/sysDepart/getDepartmentHead kontrolera SysDepartController, która pozwala każdemu uwierzytelnionemu użytkownikowi wyświetlać listę pracowników działu. Atakujący z niskimi uprawnieniami może enumerować wartości departId, aby uzyskać nazwiska pracowników, awatary, stanowiska oraz numery telefonów komórkowych i stacjonarnych, w tym kontakty oznaczone jako ukryte.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać powiązania uprawnień działów poprzez endpoint DELETE /sys/sysDepartPermission/deleteBatch. Atakujący może uzyskać identyfikatory wierszy z niechronionego endpointu listy i przesłać je w parametrze ids, aby usunąć menu i przyciski, które działy mogą przyznawać swoim rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami tworzyć powiązania uprawnień działów poprzez POST /sys/sysDepartPermission/add. Atakujący może przesłać dowolne pola departId, permissionId i dataRuleIds, aby przypisać uprawnienia do menu, przycisków i reguł danych do dowolnego działu w celu delegowania ich rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać rekordy uprawnień działów. Atakujący z niskimi uprawnieniami może wysyłać żądania GET /sys/sysDepartPermission/queryById z dowolnymi identyfikatorami, aby uzyskać depart_id, permission_id i data_rule_ids dla dowolnego działu.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysDepartPermissionController, która pozwala użytkownikom z niskimi uprawnieniami usuwać powiązania uprawnień działów. Atakujący może uzyskać identyfikatory wierszy z niechronionego endpointu listy i wysłać żądania DELETE z parametrem id, aby usunąć menu lub przyciski, które działy mogą przyznawać swoim rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację rekordów uprawnień departamentu przez wywołanie punktu końcowego edit. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory wierszy z niechronionego punktu listy i nadpisać depart_id, permission_id oraz data_rule_ids, aby zmienić, które menu i reguły danych departamenty mogą delegować.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze saveDatarule w SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację reguł danych departamentu. Atakujący z niskimi uprawnieniami mogą wysłać departId, permissionId i dataRuleIds do POST /sys/sysDepartPermission/datarule, aby zmienić, dodać lub wyczyścić reguły danych na dowolnym wiązaniu uprawnień departament-menu.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpointcie saveDeptRolePermission kontrolera SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować uprawnienia ról działów. Atakujący z niskimi uprawnieniami może przesłać wartości roleId i permissionIds, aby nadać dowolne uprawnienia do menu lub przycisków, eskalując uprawnienia lub odbierając je innym użytkownikom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze loadDatarule w SysRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt reguł danych ról. Atakujący z niskimi uprawnieniami mogą wysłać żądanie GET /sys/role/datarule/{permissionId}/{roleId}, aby odczytać nazwy reguł, kolumny, warunki, wartości i powiązane identyfikatory reguł dla dowolnej roli.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById w SysMessageController, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na odczyt dowolnych rekordów wiadomości push. Atakujący mogą podać dowolne identyfikatory rekordów do GET /sys/message/sysMessage/queryById, aby ujawnić treść wiadomości i adresy odbiorców innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na modyfikację rekordów wiadomości push przez wywołanie PUT /sys/message/sysMessage/edit. Atakujący mogą wysłać treść żądania z dowolnym identyfikatorem rekordu sys_sms, aby nadpisać tytuł, treść, adres odbiorcy i status wysyłki bez sprawdzania własności.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch w SysMessageController, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą uzyskać identyfikatory rekordów z niechronionego punktu listy i przesłać je do deleteBatch, aby usunąć dowolne rekordy wiadomości push, w tym oczekujące w kolejce wiadomości.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera SysLogController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać wpisy dziennika audytu systemu. Atakujący z niskimi uprawnieniami może wysłać żądanie DELETE z parametrem ids ustawionym na allclear, aby wyczyścić całą tabelę sys_log i zatrzeć ślady audytu wszystkich użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete w SysLogController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie wpisów dziennika audytu. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory logów z niechronionego punktu /sys/log/list i usunąć wybrane rekordy sys_log, aby zatrzeć ślady swoich działań.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze edit w SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację stanowisk organizacyjnych. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory stanowisk z niechronionego punktu listy i wysłać żądania PUT lub POST do /sys/position/edit, aby zmienić nazwy, kody i rangi stanowisk.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch w SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie stanowisk organizacyjnych. Atakujący z niskimi uprawnieniami mogą wysłać identyfikatory stanowisk oddzielone przecinkami, uzyskane z niechronionego punktu listy, aby usunąć wszystkie wiersze sys_position i osierocić przypisania użytkowników do stanowisk.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na usuwanie szablonów wiadomości przez punkt końcowy DELETE /sys/message/sysMessageTemplate/deleteBatch. Atakujący mogą podać identyfikatory szablonów oddzielone przecinkami z niechronionego punktu listy, aby usunąć wszystkie wiersze sys_sms_template, co łamie powiadomienia oparte na szablonach, takie jak przypomnienia przepływu pracy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na modyfikowanie szablonów wiadomości poprzez PUT /sys/message/sysMessageTemplate/edit. Atakujący mogą uzyskać identyfikatory szablonów z niezabezpieczonego endpointu listy i nadpisać tytuły oraz treść powiadomień systemowych, dostarczając innym użytkownikom tekst lub linki pochodzące od atakującego.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na tworzenie szablonów wiadomości poprzez POST /sys/message/sysMessageTemplate/add. Atakujący posiadający jedynie minimalne role mogą wstawiać dowolne szablony powiadomień z wybranymi kodami i treścią do współdzielonej biblioteki sys_sms_template używanej do powiadomień systemowych, e-mail, SMS i IM.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera AiragExtDataController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie rekordów ewaluatora AI. Atakujący z niskimi uprawnieniami mogą wysyłać identyfikatory oddzielone przecinkami do DELETE /airag/extData/deleteBatch, który nie sprawdza właściciela ani dzierżawcy, usuwając rekordy ewaluatora i śledzenia testów innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera AiragExtDataController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie rekordów ewaluatora AI. Atakujący mogą wysyłać żądania DELETE do /airag/extData/delete z dowolnym parametrem id, aby usunąć rekordy ewaluatora AI lub śledzenia testów innych użytkowników bez sprawdzania właściciela ani dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera AiragExtDataController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport danych ewaluatora AI. Atakujący z niskimi uprawnieniami mogą wywołać /airag/extData/exportXls, aby pobrać definicje ewaluatora airag_ext_data i rekordy śledzenia testów wszystkich użytkowników jako skoroszyt Excel.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze release kontrolera AiragAppController, która pozwala każdemu uwierzytelnionemu użytkownikowi na publikowanie lub wycofywanie aplikacji AI innych użytkowników. Atakujący z niskimi uprawnieniami mogą wysyłać żądania POST do /airag/app/release, aby uzyskać tokeny udostępniania narażające aplikacje na anonimowy dostęp czatu lub unieważnić istniejące linki udostępniania.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera AigcWordTemplateController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie szablonów Word. Atakujący mogą wysłać żądanie DELETE do /airag/word/deleteBatch z identyfikatorami oddzielonymi przecinkami, aby trwale usunąć dowolne szablony ze współdzielonej biblioteki.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera AigcWordTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie szablonów Word. Atakujący z niskimi uprawnieniami mogą wysyłać żądania DELETE do /airag/word/delete z parametrem id, aby trwale usunąć dowolny szablon ze współdzielonej biblioteki.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze edit kontrolera AigcWordTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikowanie szablonów Word. Atakujący z niskimi uprawnieniami mogą wysyłać żądania PUT lub POST do /airag/word/edit, aby nadpisać współdzielone szablony, z których korzystają inni użytkownicy do generowania dokumentów.

JeecgBoot do wersji 3.9.5 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom na odczyt historii generowania głosu AI innych użytkowników poprzez parametr userId w GET /airag/voice/listByUser. Atakujący znający identyfikator innego użytkownika mogą uzyskać przesłany tekst wejściowy do syntezy mowy, ustawienia głosu, znaczniki czasu oraz nazwy i ścieżki wygenerowanych plików audio przechowywanych w Redis.

JeecgBoot w wersji do 3.9.5 zawiera podatność typu IDOR (niebezpieczne odwołanie do obiektu), która pozwala uwierzytelnionym użytkownikom usuwać rekordy głosowe AI innych użytkowników poprzez podanie dowolnego userId w żądaniu DELETE /airag/voice/deleteVoiceRecord. Atakujący mogą uzyskać identyfikatory rekordów z niezabezpieczonego endpointu GET /airag/voice/listByUser i usuwać historię syntezy mowy ofiar przechowywaną w Redis, po jednym rekordzie na żądanie.

JeecgBoot w wersji do 3.9.5 zawiera podatność typu IDOR (niebezpieczne odwołanie do obiektu), która pozwala uwierzytelnionym użytkownikom usuwać rekordy generowania wideo AI innych użytkowników poprzez podanie dowolnych wartości userId w żądaniu DELETE /airag/video/deleteVideoRecord. Atakujący mogą uzyskać identyfikatory rekordów z niezabezpieczonego endpointu GET /airag/video/listByUser i usuwać historię wideo ofiar przechowywaną w Redis, po jednym rekordzie na żądanie.