Podatności JeecgBoot

JeecgBoot w wersji do 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteById kontrolera AiOcrController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać rekordy OCR. Niski uprawniony atakujący może uzyskać identyfikatory rekordów z niezabezpieczonego endpointu GET /airag/ocr/list i wielokrotnie usuwać wszystkie współdzielone rekordy promptów OCR przechowywane w Redis.

JeecgBoot w wersji do 3.9.5 zawiera podatność braku autoryzacji w handlerze updateById kontrolera AiOcrController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować globalne szablony OCR. Niski uprawniony atakujący może wysyłać żądania PUT do /airag/ocr/edit, aby nadpisać prompty LLM we współdzielonym kluczu Redis airag:ocr, psując wyniki OCR dla wszystkich użytkowników.

Podatność w JeecgBoot do wersji 3.9.3. Funkcja exportXls w pliku AiragModelController.java jest podatna na nieprawidłowe kontrole dostępu przez argument credential. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Zalecane jest uaktualnienie do wersji 3.9.5.

JeecgBoot 3.9.2 i wcześniejsze zawiera podatność polegającą na obejściu autoryzacji w komponencie SystemApiController. Uwierzytelniony atakujący z dowolnym ważnym tokenem JWT może uzyskać dostęp do wielu punktów API (w tym queryAllUser, queryUsersByUsernames, queryUserById i queryUsersByIds) i pobrać wrażliwe informacje o wszystkich użytkownikach, w tym imiona i nazwiska, numery telefonów, adresy e-mail, numery pracownicze i definicje ról, z powodu braku szczegółowych kontroli uprawnień i niepełnej desensytyzacji danych.

Podatność Cross Site Scripting w JeecgBoot v.3.9.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez endpoint /airag/chat/upload.

W JeecgBoot do wersji 3.9.2 wykryto podatność w nieznanej funkcji pliku /airag/chat/send komponentu Anonymous Chat Attachment Parser, która umożliwia atak typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w JeecgBoot do wersji 3.9.2 umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach pełny dostęp do zarządzania poświadczeniami OpenAPI. Brak autoryzacji Shiro w kontrolerach OpenApiAuthController i OpenApiPermissionController pozwala na tworzenie, odczyt, aktualizację i usuwanie wszystkich par AK/SK, a punkt końcowy listy zwraca sekretne klucze w postaci jawnego tekstu.

W JeecgBoot do wersji 3.9.2 wykryto podatność na otwarte przekierowanie w komponencie logowania przez zewnętrzne serwisy (Third-Party Login). Atak wymaga socjotechniki i jest trudny do wykorzystania.

W systemie JeecgBoot do wersji 3.9.2 znaleziono podatność na ujawnienie informacji w funkcji queryPageList pliku SysUserController.java. Manipulacja argumentem 'salt' pozwala zdalnie uzyskać nieautoryzowany dostęp do danych.

W systemie jeecgboot do wersji 3.9.1 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji FileDownloadUtils.download2DiskFromNet pliku /airag/app/debug. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony. Wersja 3.9.2 zawiera poprawkę.

W systemie JeecgBoot do wersji 3.9.2 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w nieznanej funkcji pliku /airag/airagModel/test. Manipulacja argumentem baseUrl umożliwia zdalny atak. Exploit jest publicznie dostępny.

W systemie JeecgBoot do wersji 3.9.2 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji WordUtil.addImage pliku /airag/word/edit. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

W JeecgBoot do wersji 3.9.1 wykryto podatność w komponencie AiragModelController, gdzie manipulacja argumentami list/queryById prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie, a exploit jest publiczny. Problem rozwiązano w wersji 3.9.2.

W JeecgBoot do wersji 3.9.1 włącznie stwierdzono podatność w nieznanej funkcji pliku /sys/comment/add, która prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Aktualizacja do wersji 3.9.2 rozwiązuje problem.

Podatność w JeecgBoot do wersji 3.9.1 w funkcji LoginController.selectDepart w pliku /sys/selectDepart, polegająca na nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie.

W JeecgBoot do wersji 3.9.1 włącznie stwierdzono podatność w funkcji user.getUsername pliku /sys/user/login/setting/userEdit komponentu SysUser. Manipulacja argumentem userIdentity prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Aktualizacja do wersji 3.9.2 jest zalecana.

W JeecgBoot 3.9.1 w komponencie OpenAPI Endpoint w pliku /openapi/call/ występuje podatność na nieprawidłowe uwierzytelnienie. Atak zdalny o wysokiej złożoności, vendor nie odpowiedział.

W JeecgBoot 3.9.1 stwierdzono podatność na ominięcie autoryzacji w punkcie końcowym mLogin. Atak może być przeprowadzony zdalnie, ale jest uważany za trudny do wykorzystania.

JeecgBoot do wersji 3.9.1 włącznie zawiera podatność na Cross-Site Scripting w komponencie obsługi plików SVG. Nieznana funkcja w pliku CommonController.java umożliwia zdalne wstrzyknięcie skryptów. Exploit jest publicznie dostępny.

W JeecgBoot 3.9.0/3.9.1 wykryto brak uwierzytelnienia w module AI Chat w pliku JeecgBizToolsProvider.java. Atak może być przeprowadzony zdalnie. Łatka jest dostępna w repozytorium, ale nie została jeszcze włączona do oficjalnego wydania.

W JeecgBoot do wersji 3.9.0 znaleziono podatność w funkcji getPositionUserList w pliku /sys/position/getPositionUserList. Manipulacja argumentem positionId prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Producent nie odpowiedział na kontakt.

W JeecgBoot do wersji 3.9.0 znaleziono podatność w funkcji queryDepartPermission w pliku /sys/permission/queryDepartPermission. Manipulacja argumentem departId prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Producent nie odpowiedział na kontakt.

Podatność w JeecgBoot do wersji 3.9.0 dotyczy funkcji getParameterMap w pliku /sys/sysDepartPermission/list. Manipulacja argumentem departId prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny.

Podatność w JeecgBoot do wersji 3.9.0 dotyczy nieznanej funkcji w pliku /sys/sysDepartPermission/datarule/. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny.

Podatność w JeecgBoot do wersji 3.9.0 dotyczy funkcji loadDatarule w pliku /sys/sysDepartRole/datarule/. Manipulacja argumentami departId/roleId prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny.

W JeecgBoot do wersji 3.9.0 znaleziono podatność w funkcji getDeptRoleByUserId w pliku /sys/sysDepartRole/getDeptRoleByUserId. Manipulacja argumentem departId prowadzi do ujawnienia informacji. Producent nie odpowiedział na kontakt.

W JeecgBoot do wersji 3.9.0 znaleziono podatność w funkcji getDeptRoleList w pliku /sys/sysDepartRole/getDeptRoleList. Manipulacja argumentem departId prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Producent nie odpowiedział na kontakt.

Podatność w JeecgBoot do wersji 3.9.0 dotyczy funkcji queryPageList w pliku /sys/sysDepartRole/list. Manipulacja argumentem deptId prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny.

W JeecgBoot do wersji 3.9.0 wykryto podatność w funkcji SysUserOnlineController pliku jeecg-boot/jeecg-module-system/jeecg-system-biz/src/main/java/org/jeecg/modules/system/controller/SysUserOnlineController.java. Wykonanie manipulacji może prowadzić do zarządzania sesjami użytkowników. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Zalecane jest zastosowanie poprawki b686f9fbd1917edffe5922c6362c817a9361cfbd.

Wykryto błąd bezpieczeństwa w JeecgBoot do wersji 3.9.0. Dotyczy on nieznanej funkcji w pliku jeecg-boot/jeecg-module-system/jeecg-system-biz/src/main/java/org/jeecg/modules/system/controller/SysTenantController.java komponentu Multi-Tenant Management Module. Manipulacja argumentem ID prowadzi do nieprawidłowego uwierzytelnienia. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony. Zalecane jest zastosowanie poprawki o nazwie e1c8f00bf2a2e0edddbaa8119afe1dc92d9dc1d2/67795493bdc579e489d3ab12e52a1793c4f8a0ee.