PT-2026-110193 · Unknown · Jeecg-Boot
CVSS v3.1
5.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
JeecgBoot الإصدارات السابقة لـ 3.9.6
الوصف
يوجد خلل في التصريح في معالج
saveDatarule الخاص بـ SysDepartRoleController. تسمح هذه المشكلة للمستخدمين المصرح لهم بصلاحيات منخفضة بتعديل قواعد بيانات أدوار القسم عن طريق إرسال قيم مصممة لمتغيرات permissionId و roleId و dataRuleIds. يتيح الاستغلال الناجح للمهاجم الكتابة فوق data rule ids مما قد يؤدي إلى توسيع الوصول إلى البيانات على مستوى الصف بشكل غير مصرح به أو تغيير آليات التصفية لأدوار الأقسام الأخرى.التوصيات
التحديث إلى إصدار أحدث من 3.9.5.
قصر الوصول إلى معالج
saveDatarule في SysDepartRoleController على المستخدمين الإداريين المصرح لهم فقط.استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Jeecg-Boot