Katalog podatności CVE

JeecgBoot do wersji 3.9.5 zawiera podatność obejścia autoryzacji w handlerze getVideoRecords kontrolera VideoGenerationController, która pozwala uwierzytelnionym użytkownikom na odczyt rekordów innych użytkowników poprzez parametr userId. Atakujący z niskimi uprawnieniami może podać identyfikator innego użytkownika, aby uzyskać jego historię generowania wideo AI, w tym prompty, identyfikatory zadań, adresy URL wideo i adresy URL okładek.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytać konfiguracje serwera MCP, ponieważ sprawdzenie uprawnień queryById jest zakomentowane. Atakujący mogą uzyskać identyfikatory rekordów z niechronionego punktu końcowego /airag/app/queryById i pobrać adresy URL, nagłówki oraz tokeny uwierzytelniające wychodzące.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze promptExperiment w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi uruchamiać eksperymenty z promptami AI. Atakujący o niskich uprawnieniach mogą podać identyfikatory szablonów promptów i zbiorów danych innych użytkowników, aby wywołać oceny modeli językowych, zapisywać wyniki do airag_ext_data i zmieniać status zbiorów danych.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze embeddingSearch w AiragKnowledgeController, która nie posiada adnotacji uprawnień Shiro. Uwierzytelnieni atakujący o niskich uprawnieniach mogą podać identyfikatory baz wiedzy do punktu końcowego GET /airag/knowledge/embedding/search, aby odczytać fragmenty tekstu z nieautoryzowanych baz wiedzy.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteRecycleBin w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi trwale usuwać szablony promptów AI. Atakujący o niskich uprawnieniach mogą wysyłać żądania DELETE z identyfikatorami szablonów, aby trwale usunąć szablony z kosza należące do administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach przywracać usunięte szablony promptów AI poprzez wywołanie punktu końcowego revertRecycleBin. Atakujący mogą wysyłać żądania PUT do /airag/prompts/revertRecycleBin z wybranymi identyfikatorami szablonów, aby wyczyścić flagi usunięcia, cofać usunięcia dokonane przez administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteBatch w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać szablony promptów AI. Atakujący o niskich uprawnieniach mogą uzyskać identyfikatory promptów z niechronionego punktu końcowego listy i przekazać je do deleteBatch, aby usunąć szablony utworzone przez administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze edit w AiragPromptsController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować szablony promptów AI. Atakujący o niskich uprawnieniach mogą wysyłać żądania PUT lub POST do /airag/prompts/edit z identyfikatorem szablonu, aby nadpisać tekst promptu i parametry modelu utworzone przez administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze queryById w AiragPromptsController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach odczytywać dowolne szablony promptów AI. Atakujący mogą wyliczyć identyfikatory poprzez niechroniony punkt końcowy /airag/prompts/list i zapytać o każdy z nich, aby uzyskać tekst promptu, parametry modelu i dane twórcy należące do administratorów lub innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji w obsłudze deleteApply w SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi odrzucać wnioski administratorów najemców. Atakujący o niskich uprawnieniach mogą wysyłać żądania PUT z wybranymi wartościami tenantId, packId i userId, aby usuwać oczekujące wnioski w dowolnym najemcy i powiadamiać wnioskodawców o odrzuceniu.

JeecgBoot do wersji 3.9.5 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach usuwać użytkowników z pakietów produktów najemcy poprzez PUT /sys/tenant/deleteTenantPackUser. Atakujący mogą podać dowolne wartości userId i packId w treści żądania, aby usunąć dowolnego użytkownika z pakietu produktów dowolnego najemcy, odbierając uprawnienia takie jak dostęp administratora najemcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na przeniesienie własności dzierżawcy poprzez POST /sys/tenant/changeOwenUserTenant. Atakujący z niskimi uprawnieniami może podać parametry userId i tenantId, aby przypisać własność dowolnego dzierżawcy do wybranego członka, w tym siebie, i pozbawić prawowitego właściciela.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację ustawień dzierżawcy poprzez wywołanie PUT /sys/tenant/updateApplyStatus. Atakujący z niskimi uprawnieniami może podać dowolny identyfikator dzierżawcy, aby nadpisać pole applyStatus, włączając lub wyłączając aplikacje administratora dzierżawcy w różnych dzierżawcach.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze listPackByTenantUserId kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odpytywanie pakietów produktów dzierżawcy. Atakujący z niskimi uprawnieniami może podać dowolne parametry tenantId i userId, aby wyliczyć konfigurację pakietów produktów dowolnego dzierżawcy i ujawnić, którzy użytkownicy są administratorami dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryTenantAuthInfo kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt rekordów innych dzierżawców. Atakujący z niskimi uprawnieniami może iterować małe identyfikatory dzierżawców, aby pobrać pełne rekordy sys_tenant, w tym numery domów używane jako kody dołączania do dzierżawcy oraz pola profilu firmy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpointcie GET /sys/tenant/getTenantPackApplyUsers kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt aplikacji administratorów dzierżawców. Atakujący z niskimi uprawnieniami może iterować parametr tenantId, aby pobrać nazwy użytkowników, prawdziwe imiona, numery telefonów i działy oczekujących kandydatów dla dowolnego dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera QuartzJobController, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami na odczyt rekordów zaplanowanych zadań. Atakujący może wysłać żądanie GET /sys/quartzJob/queryById z identyfikatorem zadania, aby pobrać nazwy klas zadań, wyrażenia cron, parametry zadań i status zarezerwowane dla administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera OssFileController, która pozwala użytkownikom uwierzytelnionym z niskimi uprawnieniami na odczyt rekordów plików w pamięci obiektowej. Atakujący znający identyfikator rekordu może wysłać żądanie GET /sys/oss/file/queryById, aby uzyskać oryginalne nazwy plików i bezpośrednie adresy URL przechowywania plików przesłanych przez innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryPageList kontrolera OpenApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi na wyświetlanie definicji rejestru OpenAPI. Atakujący z niskimi uprawnieniami może wysłać żądanie GET /openapi/list, aby odczytać wirtualne ścieżki, wewnętrzne adresy URL źródła, białe listy adresów IP oraz szablony nagłówków i parametrów przeznaczone dla administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze updateAvatar kontrolera SystemApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi na zmianę awatarów innych użytkowników. Atakujący z niskimi uprawnieniami może wysłać żądania PUT z identyfikatorem docelowego użytkownika i dowolną wartością, taką jak kontrolowany przez atakującego adres URL obrazu, aby zastąpić awatary administratorów.