Jinguo Yang

يسمح ثغرة أمنية في Erick xmall لمهاجم عن بُعد بتصعيد الصلاحيات من خلال الطريقة `updateAddress` في فئة `Address Controller`.

تسمح هذه الثغرة لمهاجم عن بُعد بترقية الصلاحيات عبر المعلمة `jobId`.

تسمح هذه الثغرة لمهاجم عن بُعد بترقية امتيازاته عبر طريقة `editSave`، التي لا تتحقق بشكل صحيح مما إذا كان المستخدم الطالب يتمتع بامتيازات إدارية قبل السماح بإجراء تعديلات على إعدادات تكوين النظام.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات عبر الأسلوب `changeStatus`.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات من خلال المعلمة `jobLogId`.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات عبر المعلمة `postID` في الأسلوب `edit`.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات. ويتم ذلك من خلال طريقة `selectDeptTree` في نقطة النهاية ”/selectDeptTree/{deptId}“، التي لا تتحقق بشكل صحيح من صحة المعلمة `deptId`.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات من خلال الطريقة `editSave` في نقطة نهاية واجهة برمجة التطبيقات (API) ”/tool/gen/editSave“.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات من خلال طريقة ”API Endpoint: /editSave“ في `SysNoticeController`.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات عبر مكون SysDictTypeController.

تسمح هذه الثغرة لمهاجم عن بُعد بتصعيد الصلاحيات من خلال طريقة edit في نقطة النهاية ”/edit/{dictId}“، والتي لا تتحقق بشكل صحيح مما إذا كان المستخدم الطالب يمتلك إذنًا لتعديل `dictId` المحدد.