PT-2026-110189
CVE-2026-108867
·
تاريخ النشر
2026-10-11
·
تاريخ التحديث
2026-10-11
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
JeecgBoot الإصدارات السابقة لـ 3.9.6
الوصف
يوجد خلل في التصريح في معالج
getUserRoleSetById ضمن نقطة النهاية 'SystemApiController'. يسمح هذا الخلل للمستخدمين المصرح لهم باسترداد تعيينات أدوار المستخدمين الآخرين من خلال تقديم معامل userId عشوائي. وبناءً على ذلك، يمكن للمهاجمين ذوي الصلاحيات المنخفضة تحديد حسابات المسؤولين دون امتلاك صلاحية system:user:queryUserRole.التوصيات
التحديث إلى الإصدار 3.9.6 أو أحدث.
تقييد الوصول إلى معالج
getUserRoleSetById في نقطة النهاية 'SystemApiController' للمستخدمين الذين لديهم صلاحية system:user:queryUserRole.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾