Katalog podatności CVE

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi trwale usuwać słowniki danych poprzez handler deletePhysic kontrolera SysDictController. Atakujący z niskimi uprawnieniami może wysyłać żądania DELETE do /sys/dict/deletePhysic/{id}, aby nieodwracalnie usunąć aktywne słowniki i wszystkie ich pozycje, omijając kosz.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać członkostwa w grupach poprzez handler deleteGroupUser w SysUserController. Atakujący może wysyłać żądania DELETE z dowolnymi wartościami groupId i userId, aby usunąć dowolnego użytkownika z dowolnej grupy zarządzanej przez administratora, bez sprawdzania właściciela lub dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać członków grup użytkowników poprzez wywołanie DELETE /sys/user/deleteUserGroupBatch. Atakujący może podać dowolny groupId i listę userIds oddzielonych przecinkami, aby usunąć wiersze sys_ugroup_user bez sprawdzania uprawnień lub dzierżawcy, manipulując grupami zarządzanymi przez administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze appImportExcel kontrolera SysDepartController, która pozwala każdemu uwierzytelnionemu użytkownikowi importować działy. Atakujący z niskimi uprawnieniami może przesłać spreparowany skoroszyt Excel do POST /sys/sysDepart/appImportExcel, aby tworzyć dowolne rekordy sys_depart w drzewie działów zarządzanym przez administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpoincie GET /sys/sysDepart/getDepartmentHead kontrolera SysDepartController, która pozwala każdemu uwierzytelnionemu użytkownikowi wyświetlać listę pracowników działu. Atakujący z niskimi uprawnieniami może enumerować wartości departId, aby uzyskać nazwiska pracowników, awatary, stanowiska oraz numery telefonów komórkowych i stacjonarnych, w tym kontakty oznaczone jako ukryte.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać powiązania uprawnień działów poprzez endpoint DELETE /sys/sysDepartPermission/deleteBatch. Atakujący może uzyskać identyfikatory wierszy z niechronionego endpointu listy i przesłać je w parametrze ids, aby usunąć menu i przyciski, które działy mogą przyznawać swoim rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami tworzyć powiązania uprawnień działów poprzez POST /sys/sysDepartPermission/add. Atakujący może przesłać dowolne pola departId, permissionId i dataRuleIds, aby przypisać uprawnienia do menu, przycisków i reguł danych do dowolnego działu w celu delegowania ich rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać rekordy uprawnień działów. Atakujący z niskimi uprawnieniami może wysyłać żądania GET /sys/sysDepartPermission/queryById z dowolnymi identyfikatorami, aby uzyskać depart_id, permission_id i data_rule_ids dla dowolnego działu.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysDepartPermissionController, która pozwala użytkownikom z niskimi uprawnieniami usuwać powiązania uprawnień działów. Atakujący może uzyskać identyfikatory wierszy z niechronionego endpointu listy i wysłać żądania DELETE z parametrem id, aby usunąć menu lub przyciski, które działy mogą przyznawać swoim rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację rekordów uprawnień departamentu przez wywołanie punktu końcowego edit. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory wierszy z niechronionego punktu listy i nadpisać depart_id, permission_id oraz data_rule_ids, aby zmienić, które menu i reguły danych departamenty mogą delegować.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze saveDatarule w SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację reguł danych departamentu. Atakujący z niskimi uprawnieniami mogą wysłać departId, permissionId i dataRuleIds do POST /sys/sysDepartPermission/datarule, aby zmienić, dodać lub wyczyścić reguły danych na dowolnym wiązaniu uprawnień departament-menu.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpointcie saveDeptRolePermission kontrolera SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować uprawnienia ról działów. Atakujący z niskimi uprawnieniami może przesłać wartości roleId i permissionIds, aby nadać dowolne uprawnienia do menu lub przycisków, eskalując uprawnienia lub odbierając je innym użytkownikom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze loadDatarule w SysRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt reguł danych ról. Atakujący z niskimi uprawnieniami mogą wysłać żądanie GET /sys/role/datarule/{permissionId}/{roleId}, aby odczytać nazwy reguł, kolumny, warunki, wartości i powiązane identyfikatory reguł dla dowolnej roli.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById w SysMessageController, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na odczyt dowolnych rekordów wiadomości push. Atakujący mogą podać dowolne identyfikatory rekordów do GET /sys/message/sysMessage/queryById, aby ujawnić treść wiadomości i adresy odbiorców innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na modyfikację rekordów wiadomości push przez wywołanie PUT /sys/message/sysMessage/edit. Atakujący mogą wysłać treść żądania z dowolnym identyfikatorem rekordu sys_sms, aby nadpisać tytuł, treść, adres odbiorcy i status wysyłki bez sprawdzania własności.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch w SysMessageController, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą uzyskać identyfikatory rekordów z niechronionego punktu listy i przesłać je do deleteBatch, aby usunąć dowolne rekordy wiadomości push, w tym oczekujące w kolejce wiadomości.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera SysLogController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać wpisy dziennika audytu systemu. Atakujący z niskimi uprawnieniami może wysłać żądanie DELETE z parametrem ids ustawionym na allclear, aby wyczyścić całą tabelę sys_log i zatrzeć ślady audytu wszystkich użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete w SysLogController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie wpisów dziennika audytu. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory logów z niechronionego punktu /sys/log/list i usunąć wybrane rekordy sys_log, aby zatrzeć ślady swoich działań.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze edit w SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację stanowisk organizacyjnych. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory stanowisk z niechronionego punktu listy i wysłać żądania PUT lub POST do /sys/position/edit, aby zmienić nazwy, kody i rangi stanowisk.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch w SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie stanowisk organizacyjnych. Atakujący z niskimi uprawnieniami mogą wysłać identyfikatory stanowisk oddzielone przecinkami, uzyskane z niechronionego punktu listy, aby usunąć wszystkie wiersze sys_position i osierocić przypisania użytkowników do stanowisk.