CVE-2026-108674
Beschrijving NL
JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de OpenApiController queryById-handler waarmee laagbevoorrechte geverifieerde gebruikers OpenAPI-definities kunnen lezen zonder openapi-machtigingen. Aanvallers kunnen GET /openapi/queryById aanvragen met een invoer-ID om interne oorsprong-URL's, virtuele paden, IP-whitelists en header- en parametersjablonen te verkrijgen.
Origineel (Engels) tonen
JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the OpenApiController queryById handler that allows low-privileged authenticated users to read OpenAPI definitions without openapi permissions. Attackers can request GET /openapi/queryById with an entry id to obtain internal origin URLs, virtual paths, IP whitelists, and header and parameter templates.