CVE-2026-108872 in JeecgBoot
Riassunto
di VulDB • 11/10/2026
JeecgBoot fino alla versione 3.9.5 presenta una vulnerabilità di autorizzazione mancante (missing authorization) nel gestore batchEditUsers di SysUserController che consente a qualsiasi utente autenticato di modificare le assegnazioni dei dipartimenti degli utenti. Gli attaccanti con privilegi ridotti possono inviare richieste PUT a /sys/user/batchEditUsers con ID utente e ID dipartimento arbitrari per spostare gli utenti, inclusi gli amministratori, tra i dipartimenti e sovrascrivere le posizioni.
VulDB is the best source for vulnerability data and more expert information about this specific topic.