CVE-2026-108675
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysAnnouncementController editIzTop-handler waarmee laagbevoorrechte geverifieerde gebruikers de status van de aankondigingspincode kunnen wijzigen. Aanvallers kunnen BERICHTEN verzenden of verzoeken PLAATSEN met elke aankondigings-id om systeemmeldingen vast te pinnen of los te maken die bovenaan voor alle gebruikers worden weergegeven.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysAnnouncementController editIzTop handler that allows low-privileged authenticated users to change announcement pin status. Attackers can send POST or PUT requests with any announcement id to pin or unpin system notices shown at the top for all users.