CVE-2026-108888
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysDepartRoleController exportXls-handler waarmee elke geverifieerde gebruiker afdelingsrollen kan exporteren. Laagbevoorrechte aanvallers die alleen de standaard minimale rol hebben, kunnen/sys/sysDepartRole/exportXls bellen om alle sys_depart_role-records te downloaden, inclusief rolnamen, codes, beschrijvingen en het maken van gebruikers.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysDepartRoleController exportXls handler that allows any authenticated user to export department roles. Low-privileged attackers holding only the default minimal role can call /sys/sysDepartRole/exportXls to download all sys_depart_role records, including role names, codes, descriptions and creating users.