CVE-2026-16450

Nome do Software Vulnerável e Versões Afetadas zsadmin2025 ZS-Admin versões até b52e14536d59fda11e56e2536a1c32e82a38cead

Descrição Existe uma falha de bypass de autorização no componente MyBatis-Plus Tenant Plugin. Um invasor remoto pode manipular o argumento X-Tenant-Id dentro da função getTenantId() do endpoint '/api/system/sys/dept/page' para ignorar os controles de autorização.

Recomendações Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/system/sys/dept/page' ou evite o uso do argumento X-Tenant-Id até que uma correção seja lançada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.