CVE-2026-108661
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid waarmee elke geverifieerde gebruiker het eigendom van de huurder kan overdragen via POST /sys/tenant/changeOwenUserTenant. Laagbevoorrechte aanvallers kunnen userId- en tenantId-parameters leveren om de eigenaar van een huurder opnieuw toe te wijzen aan een lid, inclusief zichzelf, en de legitieme eigenaar te verwijderen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows any authenticated user to transfer tenant ownership via POST /sys/tenant/changeOwenUserTenant. Low-privileged attackers can supply userId and tenantId parameters to reassign any tenant's owner to a member, including themselves, and strip the legitimate owner.