CVE-2026-108621
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysPositionController-bewerkingshandler waarmee elke geverifieerde gebruiker organisatorische posities kan wijzigen. Laagbevoorrechte aanvallers kunnen positie-id's verkrijgen van het onbewaakte eindpunt van de lijst en PUT- of postverzoeken sturen naar /sys/position/edit om positienamen, codes en rangen te wijzigen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysPositionController edit handler that allows any authenticated user to modify organizational positions. Low-privileged attackers can obtain position ids from the unguarded list endpoint and send PUT or POST requests to /sys/position/edit to alter position names, codes, and ranks.