CVE-2026-108666
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de deleteBatch-handler van AiragPromptsController waarmee elke geverifieerde gebruiker AI-promptsjablonen kan verwijderen. Laagbevoorrechte aanvallers kunnen prompt-id's verkrijgen van het onbewaakte eindpunt van de lijst en deze doorgeven aan deleteBatch om sjablonen te verwijderen die zijn gemaakt door beheerders of andere gebruikers.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the deleteBatch handler of AiragPromptsController that allows any authenticated user to delete AI prompt templates. Low-privileged attackers can obtain prompt ids from the unguarded list endpoint and pass them to deleteBatch to remove templates created by administrators or other users.