CVE-2026-108663
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysTenantController deleteApply-handler waarmee elke geverifieerde gebruiker tenantbeheerdersapplicaties kan weigeren. Laagbevoorrechte aanvallers kunnen putverzoeken verzenden met gekozen tenantId-, packId- en userId-waarden om openstaande applicaties in elke tenant te verwijderen en aanvragers op de hoogte te stellen van afwijzing.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysTenantController deleteApply handler that allows any authenticated user to reject tenant administrator applications. Low-privileged attackers can send PUT requests with chosen tenantId, packId and userId values to delete pending applications in any tenant and notify applicants of rejection.