CVE-2026-108891
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysUserController getUserDetailByUserId-handler waarmee elke geverifieerde gebruiker de gegevens van andere gebruikers kan lezen. Laagbevoorrechte aanvallers kunnen willekeurige gebruikers-ID-waarden opgeven om echte namen, gebruikersnamen, e-mails, telefoonnummers, verjaardagen, werknemersnummers, afdelingspaden en berichten op te halen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysUserController getUserDetailByUserId handler that allows any authenticated user to read other users' details. Low-privileged attackers can supply arbitrary userId values to retrieve real names, usernames, emails, phone numbers, birthdays, employee numbers, department paths and posts.