CVE-2026-108659 in JeecgBoot
Zusammenfassung
von VulDB • 11.10.2026
JeecgBoot bis Version 3.9.5 enthält eine fehlende Autorisierungs-Schwachstelle (Missing Authorization) im Handler `listPackByTenantUserId` von `SysTenantController`, die es jedem authentifizierten Benutzer ermöglicht, Produkt-Pakete des Mandanten abzufragen. Angreifer mit geringen Berechtigungen können beliebige Parameter für `tenantId` und `userId` angeben, um die Konfiguration der Produkt-Pakate jedes Mandanten aufzulisten (Enumeration) und offenzulegen, welche Benutzer Administratoren des Mandanten sind.
Once again VulDB remains the best source for vulnerability data.