CVE-2026-108606
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de AiOcrController deleteById-handler waarmee elke geverifieerde gebruiker OCR-records kan verwijderen. Laagbevoorrechte aanvallers kunnen record-id's verkrijgen van het onbewaakte GET /airag/ocr/list-eindpunt en herhaaldelijk elke gedeelde OCR-promptrecord verwijderen die is opgeslagen in Redis.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the AiOcrController deleteById handler that allows any authenticated user to delete OCR records. Low-privileged attackers can obtain record ids from the unguarded GET /airag/ocr/list endpoint and repeatedly delete every shared OCR prompt record stored in Redis.