Katalog podatności CVE

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera SysDepartPermissionController, która pozwala użytkownikom z niskimi uprawnieniami usuwać powiązania uprawnień działów. Atakujący może uzyskać identyfikatory wierszy z niechronionego endpointu listy i wysłać żądania DELETE z parametrem id, aby usunąć menu lub przyciski, które działy mogą przyznawać swoim rolom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację rekordów uprawnień departamentu przez wywołanie punktu końcowego edit. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory wierszy z niechronionego punktu listy i nadpisać depart_id, permission_id oraz data_rule_ids, aby zmienić, które menu i reguły danych departamenty mogą delegować.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze saveDatarule w SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację reguł danych departamentu. Atakujący z niskimi uprawnieniami mogą wysłać departId, permissionId i dataRuleIds do POST /sys/sysDepartPermission/datarule, aby zmienić, dodać lub wyczyścić reguły danych na dowolnym wiązaniu uprawnień departament-menu.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze loadDatarule w SysRoleController, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt reguł danych ról. Atakujący z niskimi uprawnieniami mogą wysłać żądanie GET /sys/role/datarule/{permissionId}/{roleId}, aby odczytać nazwy reguł, kolumny, warunki, wartości i powiązane identyfikatory reguł dla dowolnej roli.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze queryById w SysMessageController, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na odczyt dowolnych rekordów wiadomości push. Atakujący mogą podać dowolne identyfikatory rekordów do GET /sys/message/sysMessage/queryById, aby ujawnić treść wiadomości i adresy odbiorców innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na modyfikację rekordów wiadomości push przez wywołanie PUT /sys/message/sysMessage/edit. Atakujący mogą wysłać treść żądania z dowolnym identyfikatorem rekordu sys_sms, aby nadpisać tytuł, treść, adres odbiorcy i status wysyłki bez sprawdzania własności.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch w SysMessageController, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na usuwanie rekordów wiadomości. Atakujący mogą uzyskać identyfikatory rekordów z niechronionego punktu listy i przesłać je do deleteBatch, aby usunąć dowolne rekordy wiadomości push, w tym oczekujące w kolejce wiadomości.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete w SysLogController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie wpisów dziennika audytu. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory logów z niechronionego punktu /sys/log/list i usunąć wybrane rekordy sys_log, aby zatrzeć ślady swoich działań.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze edit w SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację stanowisk organizacyjnych. Atakujący z niskimi uprawnieniami mogą uzyskać identyfikatory stanowisk z niechronionego punktu listy i wysłać żądania PUT lub POST do /sys/position/edit, aby zmienić nazwy, kody i rangi stanowisk.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch w SysPositionController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie stanowisk organizacyjnych. Atakujący z niskimi uprawnieniami mogą wysłać identyfikatory stanowisk oddzielone przecinkami, uzyskane z niechronionego punktu listy, aby usunąć wszystkie wiersze sys_position i osierocić przypisania użytkowników do stanowisk.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na usuwanie szablonów wiadomości przez punkt końcowy DELETE /sys/message/sysMessageTemplate/deleteBatch. Atakujący mogą podać identyfikatory szablonów oddzielone przecinkami z niechronionego punktu listy, aby usunąć wszystkie wiersze sys_sms_template, co łamie powiadomienia oparte na szablonach, takie jak przypomnienia przepływu pracy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na modyfikowanie szablonów wiadomości poprzez PUT /sys/message/sysMessageTemplate/edit. Atakujący mogą uzyskać identyfikatory szablonów z niezabezpieczonego endpointu listy i nadpisać tytuły oraz treść powiadomień systemowych, dostarczając innym użytkownikom tekst lub linki pochodzące od atakującego.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na tworzenie szablonów wiadomości poprzez POST /sys/message/sysMessageTemplate/add. Atakujący posiadający jedynie minimalne role mogą wstawiać dowolne szablony powiadomień z wybranymi kodami i treścią do współdzielonej biblioteki sys_sms_template używanej do powiadomień systemowych, e-mail, SMS i IM.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera AiragExtDataController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie rekordów ewaluatora AI. Atakujący z niskimi uprawnieniami mogą wysyłać identyfikatory oddzielone przecinkami do DELETE /airag/extData/deleteBatch, który nie sprawdza właściciela ani dzierżawcy, usuwając rekordy ewaluatora i śledzenia testów innych użytkowników.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera AiragExtDataController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie rekordów ewaluatora AI. Atakujący mogą wysyłać żądania DELETE do /airag/extData/delete z dowolnym parametrem id, aby usunąć rekordy ewaluatora AI lub śledzenia testów innych użytkowników bez sprawdzania właściciela ani dzierżawcy.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze exportXls kontrolera AiragExtDataController, która pozwala każdemu uwierzytelnionemu użytkownikowi na eksport danych ewaluatora AI. Atakujący z niskimi uprawnieniami mogą wywołać /airag/extData/exportXls, aby pobrać definicje ewaluatora airag_ext_data i rekordy śledzenia testów wszystkich użytkowników jako skoroszyt Excel.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze release kontrolera AiragAppController, która pozwala każdemu uwierzytelnionemu użytkownikowi na publikowanie lub wycofywanie aplikacji AI innych użytkowników. Atakujący z niskimi uprawnieniami mogą wysyłać żądania POST do /airag/app/release, aby uzyskać tokeny udostępniania narażające aplikacje na anonimowy dostęp czatu lub unieważnić istniejące linki udostępniania.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera AigcWordTemplateController, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie szablonów Word. Atakujący mogą wysłać żądanie DELETE do /airag/word/deleteBatch z identyfikatorami oddzielonymi przecinkami, aby trwale usunąć dowolne szablony ze współdzielonej biblioteki.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze delete kontrolera AigcWordTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie szablonów Word. Atakujący z niskimi uprawnieniami mogą wysyłać żądania DELETE do /airag/word/delete z parametrem id, aby trwale usunąć dowolny szablon ze współdzielonej biblioteki.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze edit kontrolera AigcWordTemplateController, która pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikowanie szablonów Word. Atakujący z niskimi uprawnieniami mogą wysyłać żądania PUT lub POST do /airag/word/edit, aby nadpisać współdzielone szablony, z których korzystają inni użytkownicy do generowania dokumentów.