CVE-2026-108662
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid die gebruikers met een lage bevoegdheid toestaat om gebruikers uit tenantproductpakketten te verwijderen via PUT /sys/tenant/deleteTenantPackUser. Aanvallers kunnen willekeurige userId- en packId-waarden in de aanvraagtekst opgeven om elke gebruiker uit het productpakket van een tenant te verwijderen en machtigingen zoals tenantbeheerdersrechten in te trekken.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to remove users from tenant product packs via PUT /sys/tenant/deleteTenantPackUser. Attackers can supply arbitrary userId and packId values in the request body to remove any user from any tenant's product pack, revoking permissions such as tenant administrator access.