CVE-2026-108652 in JeecgBoot
الملخص
بحسب VulDB • 11/10/2026
يحتوي JeecgBoot حتى الإصدار 3.9.5 على ثغرة خاصة بغياب التفويض (Missing Authorization) في معالج `updateAvatar` الخاص بـ `SystemApiController`، مما يسمح لأي مستخدم مُصادق عليه بتغيير صور المستخدمين الآخرين. يمكن للمهاجمين ذوي الصلاحيات المنخفضة إرسال طلبات PUT تحتوي على معرف المستخدم المستهدف وقيمة عشوائية، مثل عنوان URL لصورة يتحكم فيها المهاجم، لاستبدال صور المسؤولين.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.