CVE-2026-108624
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysMessageController deleteBatch-handler waarmee laagbevoorrechte geverifieerde gebruikers berichtrecords kunnen verwijderen. Aanvallers kunnen record-id's verkrijgen van het onbewaakte eindpunt van de lijst en deze indienen bij deleteBatch om alle push-records voor berichten te verwijderen, inclusief berichten in de wachtrij.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysMessageController deleteBatch handler that allows low-privileged authenticated users to delete message records. Attackers can obtain record ids from the unguarded list endpoint and submit them to deleteBatch to remove any message push records, including pending queued messages.