CVE-2026-108664
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de AiragPromptsController-queryById-handler waarmee laagbevoorrechte geverifieerde gebruikers elk AI-promptsjabloon kunnen lezen. Aanvallers kunnen ID's opsommen via het onbewaakte /airag/prompts/list-eindpunt en elke ID opvragen om snelle tekst, modelparameters en makergegevens van beheerders of andere gebruikers te verkrijgen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the AiragPromptsController queryById handler that allows low-privileged authenticated users to read any AI prompt template. Attackers can enumerate ids via the unguarded /airag/prompts/list endpoint and query each one to obtain prompt text, model parameters, and creator details belonging to administrators or other users.