CVE-2026-108627
Beschrijving NL
JeecgBoot tot en met versie 3.9.5 bevat een kwetsbaarheid in de loadDatarule-handler van SysRoleController die een ontbrekende autorisatie veroorzaakt. Hierdoor kan elke geauthenticeerde gebruiker regels voor rolgegevens opvragen. Aanvallers met lage privileges kunnen een GET-verzoek sturen naar /sys/role/datarule/{permissionId}/{roleId} om regelnamen, kolommen, voorwaarden, waarden en gekoppelde regel-ID's voor elke rol te lezen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the loadDatarule handler of SysRoleController that lets any authenticated user query role data rules. Low-privileged attackers can request GET /sys/role/datarule/{permissionId}/{roleId} to read rule names, columns, conditions, values and bound rule ids for any role.