CVE-2026-108646
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysCategoryController importExcel-handler waarmee elke geverifieerde gebruiker categoriewoordenboekitems kan importeren. Laagbevoorrechte aanvallers kunnen vervaardigde Excel-werkmappen uploaden om willekeurige knooppunten in bulk in te voegen in het sys_category-woordenboek voor het hele systeem, inclusief onder bestaande bovenliggende knooppunten.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysCategoryController importExcel handler that allows any authenticated user to import category dictionary entries. Low-privileged attackers can upload crafted Excel workbooks to bulk insert arbitrary nodes into the system-wide sys_category dictionary, including under existing parent nodes.