CVE-2026-108670
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de promptExperiment-handler van AiragPromptsController waarmee elke geverifieerde gebruiker AI prompt-experimenten kan uitvoeren. Laagbevoorrechte aanvallers kunnen de promptsjabloon en gegevensset-id's van andere gebruikers leveren om grote taalmodelevaluaties te activeren, resultaatrijen in airag_ext_data te schrijven en de gegevenssetstatus te wijzigen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the promptExperiment handler of AiragPromptsController that allows any authenticated user to run AI prompt experiments. Low-privileged attackers can supply other users' prompt template and dataset ids to trigger large language model evaluation runs, write result rows into airag_ext_data, and change dataset status.