CVE-2026-108672
Beschrijving NL
JeecgBoot via 3.9.5 bevat een beveiligingslek voor het omzeilen van autorisaties in de getVideoRecords-handler van VideoGenerationController waarmee geverifieerde gebruikers de records van andere gebruikers kunnen lezen via de userId-parameter. Laagbevoorrechte aanvallers kunnen een andere gebruikers-ID opgeven om hun AI-video-generatiegeschiedenis op te halen, inclusief prompts, taak-id's, video-URL's en cover-URL's.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains an authorization bypass vulnerability in the getVideoRecords handler of VideoGenerationController that allows authenticated users to read other users' records via the userId parameter. Low-privileged attackers can supply another user id to retrieve their AI video generation history, including prompts, task ids, video URLs and cover URLs.