CVE-2026-108616
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de AiragExtDataController deleteBatch-handler waarmee elke geverifieerde gebruiker AI-evaluatorrecords kan verwijderen. Laagbevoorrechte aanvallers kunnen door komma's gescheiden id's verzenden om/airag/extData/deleteBatch te VERWIJDEREN, zonder controle van de eigenaar of huurder, waardoor de evaluator- en testtrackingrecords van andere gebruikers worden verwijderd.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the AiragExtDataController deleteBatch handler that allows any authenticated user to delete AI evaluator records. Low-privileged attackers can send comma-separated ids to DELETE /airag/extData/deleteBatch, which lacks owner or tenant checks, deleting other users' evaluator and test-tracking records.