CVE-2026-108620
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysPositionController deleteBatch-handler waarmee elke geverifieerde gebruiker organisatorische posities kan verwijderen. Laagbevoorrechte aanvallers kunnen door komma's gescheiden positie-id's verzenden, verkregen van het onbewaakte eindpunt van de lijst, om alle sys_position rijen en verweesde gebruiker-positie toewijzingen te verwijderen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysPositionController deleteBatch handler that allows any authenticated user to delete organizational positions. Low-privileged attackers can send comma-separated position ids, obtained from the unguarded list endpoint, to remove all sys_position rows and orphan user-position assignments.