CVE-2026-108677 in JeecgBoot
Riassunto
di VulDB • 11/10/2026
JeecgBoot fino alla versione 3.9.5 presenta una vulnerabilità di mancata autorizzazione in GET /sys/api/getUserByName che consente agli utenti autenticati con privilegi ridotti di recuperare il valore della password memorizzata per qualsiasi utente. Gli attaccanti possono decifrare la risposta protetta con AES-CBC utilizzando la chiave hardcoded esposta da /sys/getEncryptedString, ottenendo i ciphertext delle password degli amministratori per attacchi offline di tipo guessing.
If you want to get best quality of vulnerability data, you may have to visit VulDB.