Podatności JeecgBoot

JeecgBoot v3.9.2 jest podatny na zdalne wykonanie poleceń. Komponent CodeNode modułu AI Flow obsługuje wykonywanie skryptów Groovy. Podczas gdy klasa SecurityCheck używa mechanizmu czarnej listy do przechwytywania niebezpiecznych wywołań, dynamiczna natura Groovy pozwala na całkowite ominięcie tej czarnej listy poprzez konkatenację stringów i refleksję.

Problem w JeecgBoot v.3.9.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr files w module AI Chat.

JeecgBoot przed wersją 3.9.5 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym atakującym obejść listę blokowanych słów kluczowych SqlInjectionUtil poprzez wstawienie znaków nowej linii do fragmentów SQL słowników i raportów online. Atakujący może wysyłać ładunki rozdzielone nowymi liniami do punktów końcowych takich jak /sys/dict/getDictItems, aby przeprowadzić ślepą iniekcję boolowską lub czasową i wyodrębnić zawartość bazy danych, w tym hashe haseł administratorów z sys_user.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserDetailByUserId kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt danych innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać prawdziwe nazwiska, nazwy użytkowników, adresy e-mail, numery telefonów, daty urodzenia, numery pracowników, ścieżki działów i stanowiska.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysDepartRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport ról działów. Atakujący z niskimi uprawnieniami posiadający tylko domyślną minimalną rolę mogą wywołać /sys/sysDepartRole/exportXls, aby pobrać wszystkie rekordy sys_depart_role, w tym nazwy ról, kody, opisy i użytkowników tworzących.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera SysCommentController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich komentarzy. Atakujący z niskimi uprawnieniami mogą zażądać /sys/comment/exportXls, aby pobrać każdy wiersz sys_comment, w tym tekst komentarza i identyfikatory użytkowników, do rekordów, do których nie mają dostępu.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryChildrenByUsername kontrolera SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi na pobranie rekordów kont innych użytkowników. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, aby uzyskać nazwiska, adresy e-mail, numery telefonów, numery pracowników, przypisania do działów i listy pracowników działów, którymi kierują ci użytkownicy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą wysyłać żądania DELETE z dowolnymi wartościami id, aby usunąć dowolny wiersz sys_sms, wymazując zapisy wysłanych powiadomień bez sprawdzania własności.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysMessageTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie szablonów wiadomości. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory szablonów z niechronionego endpointu listy i usunąć dostarczone szablony powiadomień, powodując awarię powiadomień systemowych i przypomnień o przepływach pracy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editThirdAppConfig, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację konfiguracji aplikacji trzecich. Atakujący z niskimi uprawnieniami mogą zastąpić client id, client secret, agent id i corp id integracji DingTalk, WeCom lub Feishu, aby przekierować synchronizację katalogów i wiadomości do aplikacji kontrolowanych przez atakującego lub je zepsuć.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze removeUserPosition kontrolera SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie członków stanowisk. Atakujący z niskimi uprawnieniami mogą wysyłać żądania DELETE z dowolnymi userIds i positionId, aby usunąć wiersze sys_user_position, odłączając użytkowników od stanowisk bez rejestrowania.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getTenantPackInfo, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt członkostwa w pakiecie produktów innych dzierżawców. Atakujący z niskimi uprawnieniami mogą podać tenantId i stałe wartości packCode, takie jak superAdmin, accountAdmin lub appAdmin, aby ujawnić nazwy użytkowników administratorów, prawdziwe nazwiska, telefony i działy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w punkcie końcowym PUT /sys/dict/editDictByLowAppId, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować słowniki aplikacji niskokodowych. Atakujący może podać low_app_id słownika, uzyskany z GET /sys/dict/list, przez parametr lowAppId lub nagłówek X-Low-App-ID, aby zmienić nazwy słowników i zastąpić ich elementy.

JeecgBoot do wersji 3.9.5 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w AiragBaseApiController, która pozwala uwierzytelnionym użytkownikom odczytywać zmienne czatu AI innych użytkowników przez parametr username. Atakujący mogą wysyłać żądania POST do /airag/api/getChatVariable z docelowym appId, nazwą użytkownika i nazwą zmiennej, aby pobrać zapisane wartości pamięci czatu z Redis.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById w AiragAppController, która pozwala użytkownikom z niskimi uprawnieniami odczytywać konfigurację dowolnej aplikacji AI. Atakujący mogą enumerować identyfikatory aplikacji przez niechroniony punkt /airag/app/listDict i odpytując każdy identyfikator uzyskać prompty systemowe, prompty pamięci, identyfikatory modeli, identyfikatory baz wiedzy oraz powiązania wtyczek aplikacji innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać szablony promptów AI przez wywołanie DELETE /airag/prompts/delete. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory szablonów z niechronionego punktu GET /airag/prompts/list i logicznie usunąć szablon promptu dowolnego użytkownika, czyniąc go niedostępnym dla wszystkich.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze putCancelQuit w SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi anulować rezygnacje użytkowników. Atakujący z niskimi uprawnieniami mogą podać identyfikatory użytkowników oraz parametr tenantId lub nagłówek X-Tenant-Id, aby przywrócić zakończone, oczekujące lub odrzucone członkostwa w dzierżawach do normalnego stanu.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze addSysUserGroup w SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować członkostwo w grupach użytkowników. Atakujący z niskimi uprawnieniami mogą wysyłać żądania POST z dowolnymi identyfikatorami użytkowników i groupId, aby dodawać dowolnych użytkowników do grup zarządzanych przez administratorów bez kontroli uprawnień.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi przypisywać lub usuwać kierowników departamentów przez wywołanie PUT /sys/user/changeDepartChargePerson. Atakujący z niskimi uprawnieniami mogą podać dowolne wartości userId, department id i status, aby uczynić dowolnego użytkownika kierownikiem departamentu, poszerzając widoki departamentu, lub zdegradować istniejących kierowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami modyfikować dowolny departament przez wywołanie PUT /sys/user/doUpdateDepartInfo. Atakujący mogą podać identyfikator departamentu, aby zmienić jego nazwę lub nadrzędny departament oraz zastąpić lub usunąć jego kierowników bez sprawdzania własności lub dzierżawy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze batchEditUsers w SysUserController, która pozwala każdemu uwierzytelnionemu użytkownikowi edytować przypisania użytkowników do departamentów. Atakujący z niskimi uprawnieniami mogą wysyłać żądania PUT do /sys/user/batchEditUsers z dowolnymi identyfikatorami użytkowników i departamentów, aby przenosić użytkowników, w tym administratorów, między departamentami i nadpisywać stanowiska.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze saveDatarule w SysDepartRoleController, która pozwala użytkownikom z niskimi uprawnieniami modyfikować reguły danych ról departamentów. Atakujący mogą wysyłać spreparowane wartości permissionId, roleId i dataRuleIds, aby nadpisać data_rule_ids, poszerzając dostęp do danych na poziomie wierszy lub zmieniając filtrowanie dla innych ról departamentów.

JeecgBoot do wersji 3.9.5 zawiera lukę braku autoryzacji w handlerze saveDatarule kontrolera SysRoleController. Uwierzytelniony użytkownik o niskich uprawnieniach może modyfikować reguły danych ról, przesyłając permissionId, roleId i dataRuleIds, aby nadpisać data_rule_ids i usunąć filtry na poziomie wierszy.

JeecgBoot do wersji 3.9.5 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wysyłać ogłoszenia systemowe przez POST /sys/api/sendSysAnnouncement. Atakujący może podać dowolne wartości title, content, fromUser i toUser, aby dostarczyć sfałszowane ogłoszenia do wybranych użytkowników kanałami WebSocket, WeCom, DingTalk i Feishu.

JeecgBoot do wersji 3.9.5 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi publikować szablonowe ogłoszenia systemowe przez POST /sys/api/sendBusTemplateAnnouncement. Atakujący o niskich uprawnieniach może podać templateCode, toUser i sfałszowane fromUser, aby wysyłać powiadomienia do dowolnych użytkowników kanałami WebSocket, DingTalk, WeCom, Feishu i UniPush.

JeecgBoot do wersji 3.9.5 zawiera lukę braku autoryzacji w handlerze getUserRoleSetById kontrolera SystemApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytać przypisania ról innych użytkowników. Atakujący może podać dowolny parametr userId, aby uzyskać kody ról i zidentyfikować konta administratorów bez uprawnienia system:user:queryUserRole.

JeecgBoot do wersji 3.9.5 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytać uprawnienia dowolnego konta przez handler queryUserAuths. Atakujący o niskich uprawnieniach może podać dowolny parametr userId, aby uzyskać pełny zestaw uprawnień innego użytkownika i zidentyfikować konta administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi wysyłać powiadomienia szablonowe przez wywołanie POST /sys/api/sendTemplateAnnouncement. Atakujący z niskimi uprawnieniami może podać sfałszowanego nadawcę, odbiorców, tytuł i parametry szablonu, aby dostarczać wiadomości wyglądające jak pochodzące od administratora lub kont systemowych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze sendBusAnnouncement kontrolera SystemApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi wysyłać ogłoszenia bez wymaganych uprawnień. Atakujący z niskimi uprawnieniami może wysyłać spreparowane żądania POST do /sys/api/sendBusAnnouncement ze sfałszowanym nadawcą, odbiorcami, tytułem i treścią, aby dostarczać podszywające się wiadomości administracyjne lub systemowe w celach phishingowych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryUserRoles kontrolera SystemApiController, która pozwala uwierzytelnionym użytkownikom odczytywać kody ról dowolnego użytkownika. Atakujący z niskimi uprawnieniami może wysyłać żądania GET do /sys/api/queryUserRoles z dowolną nazwą użytkownika, aby wyliczać przypisania ról i identyfikować konta administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w GET /sys/api/getUserByName, która pozwala użytkownikom z niskimi uprawnieniami na odczyt zapisanej wartości hasła dowolnego użytkownika. Atakujący może odszyfrować odpowiedź chronioną AES-CBC przy użyciu klucza na stałe zapisanego w /sys/getEncryptedString, aby uzyskać szyfrogramy haseł administratorów do ataków słownikowych offline.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze downLoadFiles kontrolera SysAnnouncementController, która pozwala użytkownikom z niskimi uprawnieniami na pobieranie załączników ogłoszeń. Atakujący może podać znany identyfikator ogłoszenia, aby pobrać archiwum ZIP z załącznikami z nieopublikowanych ogłoszeń lub ogłoszeń adresowanych wyłącznie do innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze editIzTop kontrolera SysAnnouncementController, która pozwala użytkownikom z niskimi uprawnieniami na zmianę statusu przypięcia ogłoszenia. Atakujący może wysyłać żądania POST lub PUT z dowolnym identyfikatorem ogłoszenia, aby przypinać lub odpinać komunikaty systemowe wyświetlane na górze dla wszystkich użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera OpenApiController, która pozwala użytkownikom z niskimi uprawnieniami na odczyt definicji OpenAPI bez uprawnień openapi. Atakujący może wysyłać żądania GET /openapi/queryById z identyfikatorem wpisu, aby uzyskać wewnętrzne adresy źródłowe, ścieżki wirtualne, białe listy adresów IP oraz szablony nagłówków i parametrów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport wszystkich promptów AI. Atakujący z niskimi uprawnieniami może wywołać /airag/prompts/exportXls, aby pobrać prompty wszystkich użytkowników, w tym treść promptów, identyfikatory modeli i parametry, w formie skoroszytu Excel.

JeecgBoot do wersji 3.9.5 zawiera podatność obejścia autoryzacji w handlerze getVideoRecords kontrolera VideoGenerationController, która pozwala uwierzytelnionym użytkownikom na odczyt rekordów innych użytkowników poprzez parametr userId. Atakujący z niskimi uprawnieniami może podać identyfikator innego użytkownika, aby uzyskać jego historię generowania wideo AI, w tym prompty, identyfikatory zadań, adresy URL wideo i adresy URL okładek.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytać konfiguracje serwera MCP, ponieważ sprawdzenie uprawnień queryById jest zakomentowane. Atakujący mogą uzyskać identyfikatory rekordów z niechronionego punktu końcowego /airag/app/queryById i pobrać adresy URL, nagłówki oraz tokeny uwierzytelniające wychodzące.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze promptExperiment w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi uruchamiać eksperymenty z promptami AI. Atakujący o niskich uprawnieniach mogą podać identyfikatory szablonów promptów i zbiorów danych innych użytkowników, aby wywołać oceny modeli językowych, zapisywać wyniki do airag_ext_data i zmieniać status zbiorów danych.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze embeddingSearch w AiragKnowledgeController, która nie posiada adnotacji uprawnień Shiro. Uwierzytelnieni atakujący o niskich uprawnieniach mogą podać identyfikatory baz wiedzy do punktu końcowego GET /airag/knowledge/embedding/search, aby odczytać fragmenty tekstu z nieautoryzowanych baz wiedzy.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteRecycleBin w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi trwale usuwać szablony promptów AI. Atakujący o niskich uprawnieniach mogą wysyłać żądania DELETE z identyfikatorami szablonów, aby trwale usunąć szablony z kosza należące do administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach przywracać usunięte szablony promptów AI poprzez wywołanie punktu końcowego revertRecycleBin. Atakujący mogą wysyłać żądania PUT do /airag/prompts/revertRecycleBin z wybranymi identyfikatorami szablonów, aby wyczyścić flagi usunięcia, cofać usunięcia dokonane przez administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteBatch w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać szablony promptów AI. Atakujący o niskich uprawnieniach mogą uzyskać identyfikatory promptów z niechronionego punktu końcowego listy i przekazać je do deleteBatch, aby usunąć szablony utworzone przez administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze edit w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować szablony promptów AI. Atakujący o niskich uprawnieniach mogą wysyłać żądania PUT lub POST do /airag/prompts/edit z identyfikatorem szablonu, aby nadpisać tekst promptu i parametry modelu utworzone przez administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze queryById w AiragPromptsController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach odczytywać dowolne szablony promptów AI. Atakujący mogą wyliczyć identyfikatory poprzez niechroniony punkt końcowy /airag/prompts/list i zapytać o każdy z nich, aby uzyskać tekst promptu, parametry modelu i dane twórcy należące do administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteApply w SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi odrzucać wnioski administratorów najemców. Atakujący o niskich uprawnieniach mogą wysyłać żądania PUT z wybranymi wartościami tenantId, packId i userId, aby usuwać oczekujące wnioski w dowolnym najemcy i powiadamiać wnioskodawców o odrzuceniu.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach usuwać użytkowników z pakietów produktów najemcy poprzez PUT /sys/tenant/deleteTenantPackUser. Atakujący mogą podać dowolne wartości userId i packId w treści żądania, aby usunąć dowolnego użytkownika z pakietu produktów dowolnego najemcy, odbierając uprawnienia takie jak dostęp administratora najemcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na przeniesienie własności dzierżawcy poprzez POST /sys/tenant/changeOwenUserTenant. Atakujący z niskimi uprawnieniami może podać parametry userId i tenantId, aby przypisać własność dowolnego dzierżawcy do wybranego członka, w tym siebie, i pozbawić prawowitego właściciela.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację ustawień dzierżawcy poprzez wywołanie PUT /sys/tenant/updateApplyStatus. Atakujący z niskimi uprawnieniami może podać dowolny identyfikator dzierżawcy, aby nadpisać pole applyStatus, włączając lub wyłączając aplikacje administratora dzierżawcy w różnych dzierżawcach.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze listPackByTenantUserId kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odpytywanie pakietów produktów dzierżawcy. Atakujący z niskimi uprawnieniami może podać dowolne parametry tenantId i userId, aby wyliczyć konfigurację pakietów produktów dowolnego dzierżawcy i ujawnić, którzy użytkownicy są administratorami dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryTenantAuthInfo kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt rekordów innych dzierżawców. Atakujący z niskimi uprawnieniami może iterować małe identyfikatory dzierżawców, aby pobrać pełne rekordy sys_tenant, w tym numery domów używane jako kody dołączania do dzierżawcy oraz pola profilu firmy.