CVE-2026-108654
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de OssFileController-queryById-handler waarmee laagbevoorrechte geverifieerde gebruikers objectopslagbestandsrecords kunnen lezen. Aanvallers die een record-id kennen, kunnen GET /sys/oss/file/queryById verzoeken om originele bestandsnamen en directe opslag-URL's van bestanden die door andere gebruikers zijn geüpload te verkrijgen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the OssFileController queryById handler that allows low-privileged authenticated users to read object storage file records. Attackers who know a record id can request GET /sys/oss/file/queryById to obtain original file names and direct storage URLs of files uploaded by other users.