Katalog podatności CVE

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w GET /sys/api/getUserByName, która pozwala użytkownikom z niskimi uprawnieniami na odczyt zapisanej wartości hasła dowolnego użytkownika. Atakujący może odszyfrować odpowiedź chronioną AES-CBC przy użyciu klucza na stałe zapisanego w /sys/getEncryptedString, aby uzyskać szyfrogramy haseł administratorów do ataków słownikowych offline.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze downLoadFiles kontrolera SysAnnouncementController, która pozwala użytkownikom z niskimi uprawnieniami na pobieranie załączników ogłoszeń. Atakujący może podać znany identyfikator ogłoszenia, aby pobrać archiwum ZIP z załącznikami z nieopublikowanych ogłoszeń lub ogłoszeń adresowanych wyłącznie do innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editIzTop kontrolera SysAnnouncementController, która pozwala użytkownikom z niskimi uprawnieniami na zmianę statusu przypięcia ogłoszenia. Atakujący może wysyłać żądania POST lub PUT z dowolnym identyfikatorem ogłoszenia, aby przypinać lub odpinać komunikaty systemowe wyświetlane na górze dla wszystkich użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera OpenApiController, która pozwala użytkownikom z niskimi uprawnieniami na odczyt definicji OpenAPI bez uprawnień openapi. Atakujący może wysyłać żądania GET /openapi/queryById z identyfikatorem wpisu, aby uzyskać wewnętrzne adresy źródłowe, ścieżki wirtualne, białe listy adresów IP oraz szablony nagłówków i parametrów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich promptów AI. Atakujący z niskimi uprawnieniami może wywołać /airag/prompts/exportXls, aby pobrać prompty wszystkich użytkowników, w tym treść promptów, identyfikatory modeli i parametry, w formie skoroszytu Excel.

JeecgBoot do wersji 3.9.5 zawiera podatność obejścia autoryzacji w handlerze getVideoRecords kontrolera VideoGenerationController, która pozwala uwierzytelnionym użytkownikom na odczyt rekordów innych użytkowników poprzez parametr userId. Atakujący z niskimi uprawnieniami może podać identyfikator innego użytkownika, aby uzyskać jego historię generowania wideo AI, w tym prompty, identyfikatory zadań, adresy URL wideo i adresy URL okładek.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytać konfiguracje serwera MCP, ponieważ sprawdzenie uprawnień queryById jest zakomentowane. Atakujący mogą uzyskać identyfikatory rekordów z niechronionego punktu końcowego /airag/app/queryById i pobrać adresy URL, nagłówki oraz tokeny uwierzytelniające wychodzące.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze promptExperiment w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi uruchamiać eksperymenty z promptami AI. Atakujący o niskich uprawnieniach mogą podać identyfikatory szablonów promptów i zbiorów danych innych użytkowników, aby wywołać oceny modeli językowych, zapisywać wyniki do airag_ext_data i zmieniać status zbiorów danych.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze embeddingSearch w AiragKnowledgeController, która nie posiada adnotacji uprawnień Shiro. Uwierzytelnieni atakujący o niskich uprawnieniach mogą podać identyfikatory baz wiedzy do punktu końcowego GET /airag/knowledge/embedding/search, aby odczytać fragmenty tekstu z nieautoryzowanych baz wiedzy.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteRecycleBin w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi trwale usuwać szablony promptów AI. Atakujący o niskich uprawnieniach mogą wysyłać żądania DELETE z identyfikatorami szablonów, aby trwale usunąć szablony z kosza należące do administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach przywracać usunięte szablony promptów AI poprzez wywołanie punktu końcowego revertRecycleBin. Atakujący mogą wysyłać żądania PUT do /airag/prompts/revertRecycleBin z wybranymi identyfikatorami szablonów, aby wyczyścić flagi usunięcia, cofać usunięcia dokonane przez administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteBatch w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać szablony promptów AI. Atakujący o niskich uprawnieniach mogą uzyskać identyfikatory promptów z niechronionego punktu końcowego listy i przekazać je do deleteBatch, aby usunąć szablony utworzone przez administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze edit w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować szablony promptów AI. Atakujący o niskich uprawnieniach mogą wysyłać żądania PUT lub POST do /airag/prompts/edit z identyfikatorem szablonu, aby nadpisać tekst promptu i parametry modelu utworzone przez administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze queryById w AiragPromptsController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach odczytywać dowolne szablony promptów AI. Atakujący mogą wyliczyć identyfikatory poprzez niechroniony punkt końcowy /airag/prompts/list i zapytać o każdy z nich, aby uzyskać tekst promptu, parametry modelu i dane twórcy należące do administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteApply w SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi odrzucać wnioski administratorów najemców. Atakujący o niskich uprawnieniach mogą wysyłać żądania PUT z wybranymi wartościami tenantId, packId i userId, aby usuwać oczekujące wnioski w dowolnym najemcy i powiadamiać wnioskodawców o odrzuceniu.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach usuwać użytkowników z pakietów produktów najemcy poprzez PUT /sys/tenant/deleteTenantPackUser. Atakujący mogą podać dowolne wartości userId i packId w treści żądania, aby usunąć dowolnego użytkownika z pakietu produktów dowolnego najemcy, odbierając uprawnienia takie jak dostęp administratora najemcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na przeniesienie własności dzierżawcy poprzez POST /sys/tenant/changeOwenUserTenant. Atakujący z niskimi uprawnieniami może podać parametry userId i tenantId, aby przypisać własność dowolnego dzierżawcy do wybranego członka, w tym siebie, i pozbawić prawowitego właściciela.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację ustawień dzierżawcy poprzez wywołanie PUT /sys/tenant/updateApplyStatus. Atakujący z niskimi uprawnieniami może podać dowolny identyfikator dzierżawcy, aby nadpisać pole applyStatus, włączając lub wyłączając aplikacje administratora dzierżawcy w różnych dzierżawcach.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze listPackByTenantUserId kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odpytywanie pakietów produktów dzierżawcy. Atakujący z niskimi uprawnieniami może podać dowolne parametry tenantId i userId, aby wyliczyć konfigurację pakietów produktów dowolnego dzierżawcy i ujawnić, którzy użytkownicy są administratorami dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryTenantAuthInfo kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt rekordów innych dzierżawców. Atakujący z niskimi uprawnieniami może iterować małe identyfikatory dzierżawców, aby pobrać pełne rekordy sys_tenant, w tym numery domów używane jako kody dołączania do dzierżawcy oraz pola profilu firmy.