CVE-2026-108607
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een onveilige kwetsbaarheid voor directe objectreferentie waarmee geverifieerde gebruikers de AI-video-opwekkingsrecords van andere gebruikers kunnen verwijderen door willekeurige userId-waarden op te geven om/airag/video/deleteVideoRecord te VERWIJDEREN. Aanvallers kunnen record-id's verkrijgen van het niet-gecontroleerde GET /airag/video/listByUser-eindpunt en de in Redis opgeslagen videogeschiedenisvermeldingen van slachtoffers één record per verzoek verwijderen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains an insecure direct object reference vulnerability that allows authenticated users to delete other users' AI video generation records by supplying arbitrary userId values to DELETE /airag/video/deleteVideoRecord. Attackers can obtain record ids from the unchecked GET /airag/video/listByUser endpoint and delete victims' Redis-stored video history entries one record per request.