CVE-2026-108680
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid waarmee elke geverifieerde gebruiker sjabloonmeldingen kan verzenden door POST /sys/api/sendTemplateAnnouncement te bellen. Laagbevoorrechte aanvallers kunnen vervalste afzender-, ontvangers-, titel- en sjabloonparameters leveren om berichten af te leveren die afkomstig lijken te zijn van beheerders- of systeemaccounts.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows any authenticated user to send template notifications by calling POST /sys/api/sendTemplateAnnouncement. Low-privileged attackers can supply forged sender, recipients, title, and template parameters to deliver messages appearing to come from admin or system accounts.