CVE-2026-108642
Beschrijving NL
JeecgBoot tot en met versie 3.9.5 bevat een kwetsbaarheid in SysAnnouncementSendController die een ontbrekende autorisatie veroorzaakt. Hierdoor kunnen geauthenticeerde gebruikers de berichtbezorgingsgegevens van andere gebruikers wijzigen. Aanvallers kunnen bezorgings-ID's verkrijgen via GET /sys/sysAnnouncementSend/list en bewerkingsverzoeken indienen die leesvlaggen, ontvanger-ID's of gekoppelde aankondigingen overschrijven om berichten voor ontvangers te verbergen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in SysAnnouncementSendController that allows authenticated users to modify other users' message delivery records. Attackers can obtain delivery ids from GET /sys/sysAnnouncementSend/list and submit edit requests that overwrite read flags, recipient ids, or linked announcements to hide messages from recipients.