Katalog podatności CVE

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getRolesByUserId kontrolera SystemApiController, która pozwala uwierzytelnionym użytkownikom na pobieranie kodów ról dowolnego użytkownika. Atakujący z niskimi uprawnieniami może podać dowolne wartości userId do GET /sys/api/getRolesByUserId, aby wyliczyć przypisania ról i zidentyfikować konta administratorów.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze getUserPermissionSet kontrolera SystemApiController. Każdy uwierzytelniony użytkownik może podać dowolny userId i odczytać pełny zestaw uprawnień innego konta, w tym administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryUserRolesById kontrolera SystemApiController. Uwierzytelnieni użytkownicy mogą odczytać kody ról dowolnego użytkownika, podając jego userId.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpoincie GET /sys/api/getDynamicDbSourceByCode kontrolera SystemApiController, który nie ma adnotacji uprawnień ani ról Shiro. Każdy uwierzytelniony niski uprzywilejowaniem użytkownik może podać kody źródeł danych w parametrze dbSourceCode, aby uzyskać adresy URL JDBC, nazwy użytkowników i odszyfrowane hasła do baz danych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala niski uprzywilejowaniem uwierzytelnionym użytkownikom tworzyć reguły walidacji przez handler importExcel kontrolera SysCheckRuleController. Atakujący mogą przesłać spreparowany skoroszyt Excel, aby ominąć uprawnienie system:checkRule:add i masowo tworzyć systemowe reguły walidacji kodowania z dowolnymi wzorcami wyrażeń regularnych.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze importExcel kontrolera SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi importować wpisy słownika kategorii. Niski uprzywilejowaniem atakujący mogą przesłać spreparowane skoroszyty Excel, aby masowo wstawiać dowolne węzły do systemowego słownika sys_category, w tym pod istniejącymi węzłami nadrzędnymi.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi edytować węzły słownika kategorii przez /sys/category/edit. Niski uprzywilejowaniem atakujący mogą wysyłać żądania POST lub PUT, podając identyfikator węzła, aby zmienić nazwę, kod lub przenieść systemowe węzły sys_category, modyfikując wartości klasyfikacji używane w formularzach.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysCategoryController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać węzły słownika kategorii. Niski uprzywilejowaniem atakujący mogą uzyskać identyfikatory węzłów z niechronionych endpointów rootList i childList i usuwać całe poddrzewa sys_category, psując zależne formularze i pola słownikowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala niski uprzywilejowaniem uwierzytelnionym użytkownikom usuwać wpisy słownika kategorii przez DELETE /sys/category/deleteBatch. Atakujący mogą uzyskać identyfikatory węzłów z niechronionych endpointów rootList i childList i przesłać je, aby rekursywnie usuwać całe poddrzewa sys_category, psując zależne formularze i pola słownikowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysAnnouncementSendController, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy dostarczania wiadomości innych użytkowników. Atakujący mogą uzyskać identyfikatory dostarczenia z GET /sys/sysAnnouncementSend/list i wysyłać żądania edycji, które nadpisują flagi odczytu, identyfikatory odbiorców lub powiązane ogłoszenia, aby ukryć wiadomości przed odbiorcami.

JeecgBoot do wersji 3.9.5 zawiera podatność niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom czytać wiadomości innych użytkowników w aplikacji przez handler getOne kontrolera SysAnnouncementSendController. Atakujący mogą uzyskać identyfikatory rekordów dostarczenia z niechronionego endpointu /sys/sysAnnouncementSend/list i podać je jako parametr sendId, aby odczytać tytuły, treści, nadawców i odbiorców wiadomości.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera SysDepartRoleController, który nie posiada adnotacji uprawnień Shiro. Uwierzytelniony atakujący z niskimi uprawnieniami może wysłać żądanie GET /sys/sysDepartRole/queryById z dowolnym id, aby odczytać nazwy ról działów, kody, opisy i pola audytowe.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi trwale usuwać słowniki danych poprzez handler deletePhysic kontrolera SysDictController. Atakujący z niskimi uprawnieniami może wysyłać żądania DELETE do /sys/dict/deletePhysic/{id}, aby nieodwracalnie usunąć aktywne słowniki i wszystkie ich pozycje, omijając kosz.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać członkostwa w grupach poprzez handler deleteGroupUser w SysUserController. Atakujący może wysyłać żądania DELETE z dowolnymi wartościami groupId i userId, aby usunąć dowolnego użytkownika z dowolnej grupy zarządzanej przez administratora, bez sprawdzania właściciela lub dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać członków grup użytkowników poprzez wywołanie DELETE /sys/user/deleteUserGroupBatch. Atakujący może podać dowolny groupId i listę userIds oddzielonych przecinkami, aby usunąć wiersze sys_ugroup_user bez sprawdzania uprawnień lub dzierżawcy, manipulując grupami zarządzanymi przez administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze appImportExcel kontrolera SysDepartController, która pozwala każdemu uwierzytelnionemu użytkownikowi importować działy. Atakujący z niskimi uprawnieniami może przesłać spreparowany skoroszyt Excel do POST /sys/sysDepart/appImportExcel, aby tworzyć dowolne rekordy sys_depart w drzewie działów zarządzanym przez administratora.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpoincie GET /sys/sysDepart/getDepartmentHead kontrolera SysDepartController, która pozwala każdemu uwierzytelnionemu użytkownikowi wyświetlać listę pracowników działu. Atakujący z niskimi uprawnieniami może enumerować wartości departId, aby uzyskać nazwiska pracowników, awatary, stanowiska oraz numery telefonów komórkowych i stacjonarnych, w tym kontakty oznaczone jako ukryte.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami usuwać powiązania uprawnień działów poprzez endpoint DELETE /sys/sysDepartPermission/deleteBatch. Atakujący może uzyskać identyfikatory wierszy z niechronionego endpointu listy i przesłać je w parametrze ids, aby usunąć menu i przyciski, które działy mogą przyznawać swoim rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami tworzyć powiązania uprawnień działów poprzez POST /sys/sysDepartPermission/add. Atakujący może przesłać dowolne pola departId, permissionId i dataRuleIds, aby przypisać uprawnienia do menu, przycisków i reguł danych do dowolnego działu w celu delegowania ich rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById kontrolera SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać rekordy uprawnień działów. Atakujący z niskimi uprawnieniami może wysyłać żądania GET /sys/sysDepartPermission/queryById z dowolnymi identyfikatorami, aby uzyskać depart_id, permission_id i data_rule_ids dla dowolnego działu.