Katalog podatności CVE

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze listPackByTenantUserId kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odpytywanie pakietów produktów dzierżawcy. Atakujący z niskimi uprawnieniami może podać dowolne parametry tenantId i userId, aby wyliczyć konfigurację pakietów produktów dowolnego dzierżawcy i ujawnić, którzy użytkownicy są administratorami dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryTenantAuthInfo kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt rekordów innych dzierżawców. Atakujący z niskimi uprawnieniami może iterować małe identyfikatory dzierżawców, aby pobrać pełne rekordy sys_tenant, w tym numery domów używane jako kody dołączania do dzierżawcy oraz pola profilu firmy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze passApply kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi zatwierdzać wnioski o uprawnienia administratora dzierżawy. Atakujący może złożyć wniosek przez doApplyTenantPackUser i zatwierdzić go przez PUT /sys/tenant/passApply, uzyskując uprawnienia administratora w dowolnej dzierżawie.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpointcie GET /sys/tenant/getTenantPackApplyUsers kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt aplikacji administratorów dzierżawców. Atakujący z niskimi uprawnieniami może iterować parametr tenantId, aby pobrać nazwy użytkowników, prawdziwe imiona, numery telefonów i działy oczekujących kandydatów dla dowolnego dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera QuartzJobController, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami na odczyt rekordów zaplanowanych zadań. Atakujący może wysłać żądanie GET /sys/quartzJob/queryById z identyfikatorem zadania, aby pobrać nazwy klas zadań, wyrażenia cron, parametry zadań i status zarezerwowane dla administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera OssFileController, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami na odczyt rekordów plików w pamięci obiektowej. Atakujący znający identyfikator rekordu może wysłać żądanie GET /sys/oss/file/queryById, aby uzyskać oryginalne nazwy plików i bezpośrednie adresy URL przechowywania plików przesłanych przez innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryPageList kontrolera OpenApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi na wyświetlanie definicji rejestru OpenAPI. Atakujący z niskimi uprawnieniami może wysłać żądanie GET /openapi/list, aby odczytać wirtualne ścieżki, wewnętrzne adresy URL źródła, białe listy adresów IP oraz szablony nagłówków i parametrów przeznaczone dla administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze updateAvatar kontrolera SystemApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi na zmianę awatarów innych użytkowników. Atakujący z niskimi uprawnieniami może wysłać żądania PUT z identyfikatorem docelowego użytkownika i dowolną wartością, taką jak kontrolowany przez atakującego adres URL obrazu, aby zastąpić awatary administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getRolesByUserId kontrolera SystemApiController, która pozwala uwierzytelnionym użytkownikom na pobieranie kodów ról dowolnego użytkownika. Atakujący z niskimi uprawnieniami może podać dowolne wartości userId do GET /sys/api/getRolesByUserId, aby wyliczyć przypisania ról i zidentyfikować konta administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserPermissionSet kontrolera SystemApiController. Każdy uwierzytelniony użytkownik może podać dowolny userId i odczytać pełny zestaw uprawnień innego konta, w tym administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryUserRolesById kontrolera SystemApiController. Uwierzytelnieni użytkownicy mogą odczytać kody ról dowolnego użytkownika, podając jego userId.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpoincie GET /sys/api/getDynamicDbSourceByCode kontrolera SystemApiController, który nie ma adnotacji uprawnień ani ról Shiro. Każdy uwierzytelniony niski uprzywilejowaniem użytkownik może podać kody źródeł danych w parametrze dbSourceCode, aby uzyskać adresy URL JDBC, nazwy użytkowników i odszyfrowane hasła do baz danych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala niski uprzywilejowaniem uwierzytelnionym użytkownikom tworzyć reguły walidacji przez handler importExcel kontrolera SysCheckRuleController. Atakujący mogą przesłać spreparowany skoroszyt Excel, aby ominąć uprawnienie system:checkRule:add i masowo tworzyć systemowe reguły walidacji kodowania z dowolnymi wzorcami wyrażeń regularnych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze importExcel kontrolera SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi importować wpisy słownika kategorii. Niski uprzywilejowaniem atakujący mogą przesłać spreparowane skoroszyty Excel, aby masowo wstawiać dowolne węzły do systemowego słownika sys_category, w tym pod istniejącymi węzłami nadrzędnymi.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi edytować węzły słownika kategorii przez /sys/category/edit. Niski uprzywilejowaniem atakujący mogą wysyłać żądania POST lub PUT, podając identyfikator węzła, aby zmienić nazwę, kod lub przenieść systemowe węzły sys_category, modyfikując wartości klasyfikacji używane w formularzach.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać węzły słownika kategorii. Niski uprzywilejowaniem atakujący mogą uzyskać identyfikatory węzłów z niechronionych endpointów rootList i childList i usuwać całe poddrzewa sys_category, psując zależne formularze i pola słownikowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala niski uprzywilejowaniem uwierzytelnionym użytkownikom usuwać wpisy słownika kategorii przez DELETE /sys/category/deleteBatch. Atakujący mogą uzyskać identyfikatory węzłów z niechronionych endpointów rootList i childList i przesłać je, aby rekursywnie usuwać całe poddrzewa sys_category, psując zależne formularze i pola słownikowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysAnnouncementSendController, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy dostarczania wiadomości innych użytkowników. Atakujący mogą uzyskać identyfikatory dostarczenia z GET /sys/sysAnnouncementSend/list i wysyłać żądania edycji, które nadpisują flagi odczytu, identyfikatory odbiorców lub powiązane ogłoszenia, aby ukryć wiadomości przed odbiorcami.

JeecgBoot do wersji 3.9.5 zawiera podatność niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom czytać wiadomości innych użytkowników w aplikacji przez handler getOne kontrolera SysAnnouncementSendController. Atakujący mogą uzyskać identyfikatory rekordów dostarczenia z niechronionego endpointu /sys/sysAnnouncementSend/list i podać je jako parametr sendId, aby odczytać tytuły, treści, nadawców i odbiorców wiadomości.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera SysDepartRoleController, który nie posiada adnotacji uprawnień Shiro. Uwierzytelniony atakujący z niskimi uprawnieniami może wysłać żądanie GET /sys/sysDepartRole/queryById z dowolnym id, aby odczytać nazwy ról działów, kody, opisy i pola audytowe.