CVE-2026-108652
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SystemApiController updateAvatar-handler waarmee elke geverifieerde gebruiker de avatars van andere gebruikers kan wijzigen. Laagbevoorrechte aanvallers kunnen putverzoeken verzenden met een doelgebruikers-ID en een willekeurige waarde, zoals een door aanvallers gecontroleerde afbeeldings-URL, om de avatars van beheerders te vervangen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SystemApiController updateAvatar handler that allows any authenticated user to change other users' avatars. Low-privileged attackers can send PUT requests with a target user id and an arbitrary value, such as an attacker-controlled image URL, to replace administrators' avatars.