CVE-2026-108867

Nome do Software Vulnerável e Versões Afetadas JeecgBoot versões anteriores a 3.9.6

Descrição Uma falha de autorização existe no manipulador getUserRoleSetById dentro do endpoint 'SystemApiController'. Este problema permite que usuários autenticados recuperem as atribuições de função de outros usuários ao fornecer um parâmetro userId arbitrário. Consequentemente, invasores com baixos privilégios podem identificar contas de administrador sem possuir a permissão system:user:queryUserRole.

Recomendações Atualize para a versão 3.9.6 ou posterior. Restrinja o acesso ao manipulador getUserRoleSetById no endpoint 'SystemApiController' para usuários com a permissão system:user:queryUserRole.