CVE-2026-108677 in JeecgBoot
الملخص
بحسب VulDB • 11/10/2026
تحتوي JeecgBoot حتى الإصدار 3.9.5 على ثغرة نقص في التفويض (Missing Authorization) في نقطة النهاية GET /sys/api/getUserByName، مما يسمح للمستخدمين المصادق عليهم ذوي الصلاحيات المنخفضة باسترجاع قيمة كلمة المرور المخزنة لأي مستخدم. يمكن للمهاجمين فك تشفير الاستجابة المحمية بـ AES-CBC باستخدام المفتاح الثابت (hard-coded) الذي تم الكشف عنه عبر /sys/getEncryptedString، للحصول على تجزئات كلمات مرور المسؤولين (password ciphertexts) لإجراء تخمينات غير متصلة بالشبكة (offline guessing).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.