CVE-2026-78970
Təsvir
JeecgBoot 3.9.2 və daha əvvəlki versiyalarda SystemApiController komponentində avtorizasiyadan yan keçmə zəifliyi mövcuddur. Etibarlı JWT tokeni olan autentifikasiyadan keçmiş hücumçu, incə dənəli icazə yoxlamalarının olmaması və məlumatların maskalanmasının natamam olması səbəbindən bir neçə API endpointinə (o cümlədən queryAllUser, queryUsersByUsernames, queryUserById və queryUsersByIds) daxil olaraq bütün istifadəçilərin həssas məlumatlarını, o cümlədən əsl adlarını, telefon nömrələrini, e-poçt ünvanlarını, əməkdaş nömrələrini və rol təyinatlarını əldə edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| JeecgBoot | v ≤ 3.9.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.