CVE-2026-108658
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysTenantController queryTenantAuthInfo-handler waarmee elke geverifieerde gebruiker de records van andere tenants kan lezen. Laagbevoorrechte aanvallers kunnen kleine integer tenant-id's herhalen om volledige sys_tenant-records op te halen, inclusief huisnummers die worden gebruikt als tenant join-codes en bedrijfsprofielvelden.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysTenantController queryTenantAuthInfo handler that allows any authenticated user to read other tenants' records. Low-privileged attackers can iterate small integer tenant ids to retrieve full sys_tenant records, including house numbers used as tenant join codes and company profile fields.