CVE-2026-108669
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de embeddingSearch-handler van AiragKnowledgeController zonder Shiro-machtigingsannotaties. Laag geprivilegieerde geverifieerde aanvallers kunnen kennisbank-id's leveren aan het GET /airag/knowledge/embedding/search-eindpunt om stukjes documenttekst uit niet-geautoriseerde kennisbanken te lezen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the embeddingSearch handler of AiragKnowledgeController that lacks Shiro permission annotations. Low-privileged authenticated attackers can supply knowledge base ids to the GET /airag/knowledge/embedding/search endpoint to read document text chunks from unauthorized knowledge bases.