CVE-2026-108679
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de sendBusAnnouncement-handler van SystemApiController waarmee elke geverifieerde gebruiker aankondigingen kan verzenden zonder de vereiste machtigingen. Laagbevoorrechte aanvallers kunnen vervaardigde lichamen PLAATSEN op /sys/api/sendBusAnnouncement met vervalste afzender, ontvangers, titel en inhoud om vervalste beheerders- of systeemberichten voor phishing te leveren.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the sendBusAnnouncement handler of SystemApiController that allows any authenticated user to send announcements without the required permissions. Low-privileged attackers can POST crafted bodies to /sys/api/sendBusAnnouncement with forged sender, recipients, title and content to deliver spoofed admin or system messages for phishing.