CVE-2026-108648
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in het GET /sys/api/getDynamicDbSourceByCode-eindpunt van SystemApiController, zonder Shiro-toestemming of rolannotaties. Elke geverifieerde laagbevoorrechte gebruiker kan gegevensbroncodes leveren in de dbSourceCode-parameter om JDBC-URL's, gebruikersnamen en gedecodeerde cleartext-databasewachtwoorden op te halen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the GET /sys/api/getDynamicDbSourceByCode endpoint of SystemApiController, which lacks Shiro permission or role annotations. Any authenticated low-privileged user can supply datasource codes in the dbSourceCode parameter to retrieve JDBC URLs, usernames and decrypted cleartext database passwords.