CVE-database
126.581 CVEs in database. Zoek op product (bv. fortinet, exchange) of CVE-ID.
- CVE-2026-108673 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de AiragPromptsController exportXls-handler waarmee elke geverifieerde gebruiker alle AI-prompts kan exporteren. Laagbevoorrechte aanvallers kunnen/airag/prompts/exportXls vragen…
- CVE-2026-108672 MEDIUM · 4.3 JeecgBoot via 3.9.5 bevat een beveiligingslek voor het omzeilen van autorisaties in de getVideoRecords-handler van VideoGenerationController waarmee geverifieerde gebruikers de records van andere gebruikers kunnen…
- CVE-2026-108671 MEDIUM · 6.5 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid waarmee elke geverifieerde gebruiker MCP-serverconfiguraties kan lezen omdat de controle van de queryById-machtigingen wordt becommentarieerd. Aanvallers…
- CVE-2026-108670 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de promptExperiment-handler van AiragPromptsController waarmee elke geverifieerde gebruiker AI prompt-experimenten kan uitvoeren. Laagbevoorrechte aanvallers kunnen…
- CVE-2026-108669 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de embeddingSearch-handler van AiragKnowledgeController zonder Shiro-machtigingsannotaties. Laag geprivilegieerde geverifieerde aanvallers kunnen kennisbank-id's leveren aan het…
- CVE-2026-108668 MEDIUM · 5.4 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de AiragPromptsController deleteRecycleBin-handler waarmee elke geverifieerde gebruiker AI-promptsjablonen kan opschonen. Laagbevoorrechte aanvallers kunnen VERWIJDERVERZOEKEN verzenden…
- CVE-2026-108667 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid waarmee laagbevoorrechte geverifieerde gebruikers verwijderde AI-promptsjablonen kunnen herstellen door het revertRecycleBin-eindpunt aan te roepen. Aanvallers kunnen…
- CVE-2026-108666 MEDIUM · 5.4 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de deleteBatch-handler van AiragPromptsController waarmee elke geverifieerde gebruiker AI-promptsjablonen kan verwijderen. Laagbevoorrechte aanvallers kunnen prompt-id's…
- CVE-2026-108665 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de AiragPromptsController-bewerkingshandelaar waarmee elke geverifieerde gebruiker AI-promptsjablonen kan wijzigen. Laagbevoorrechte aanvallers kunnen PUT- of postverzoeken…
- CVE-2026-108664 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de AiragPromptsController-queryById-handler waarmee laagbevoorrechte geverifieerde gebruikers elk AI-promptsjabloon kunnen lezen. Aanvallers kunnen ID's opsommen via…
- CVE-2026-108663 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysTenantController deleteApply-handler waarmee elke geverifieerde gebruiker tenantbeheerdersapplicaties kan weigeren. Laagbevoorrechte aanvallers kunnen putverzoeken verzenden…
- CVE-2026-108662 MEDIUM · 5.4 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid die gebruikers met een lage bevoegdheid toestaat om gebruikers uit tenantproductpakketten te verwijderen via PUT /sys/tenant/deleteTenantPackUser.…
- CVE-2026-108661 MEDIUM · 6.5 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid waarmee elke geverifieerde gebruiker het eigendom van de huurder kan overdragen via POST /sys/tenant/changeOwenUserTenant. Laagbevoorrechte aanvallers…
- CVE-2026-108660 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid waarmee elke geverifieerde gebruiker de tenantinstellingen kan wijzigen door PUT /sys/tenant/updateApplyStatus aan te roepen. Laagbevoorrechte aanvallers…
- CVE-2026-108659 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysTenantController-lijstPackByTenantUserId-handler waarmee elke geverifieerde gebruiker tenant-productpakketten kan opvragen. Laagbevoorrechte aanvallers kunnen willekeurige tenantId- en…
- CVE-2026-108658 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysTenantController queryTenantAuthInfo-handler waarmee elke geverifieerde gebruiker de records van andere tenants kan lezen. Laagbevoorrechte…
- CVE-2026-108657 HIGH · 8.1 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SysTenantController passApply-handler waarmee elke geverifieerde gebruiker tenantbeheerdersapplicaties kan goedkeuren. Aanvallers kunnen een in behandeling…
- CVE-2026-108656 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in het SysTenantController GET/sys/tenant/getTenantPackApplyUsers-eindpunt waarmee elke geverifieerde gebruiker tenantbeheerdersapplicaties kan lezen. Laagbevoorrechte aanvallers kunnen de tenantId-parameter…
- CVE-2026-108655 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de QuartzJobController queryById-handler waarmee laagbevoorrechte geverifieerde gebruikers geplande taakrecords kunnen lezen. Aanvallers kunnen GET /sys/quartzJob/queryById…
- CVE-2026-108654 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de OssFileController-queryById-handler waarmee laagbevoorrechte geverifieerde gebruikers objectopslagbestandsrecords kunnen lezen. Aanvallers die een record-id kennen, kunnen…
- CVE-2026-108653 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de queryPageList-handler van OpenApiController waarmee elke geverifieerde gebruiker OpenAPI-registerdefinities kan vermelden. Laagbevoorrechte aanvallers kunnen GET…
- CVE-2026-108652 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de SystemApiController updateAvatar-handler waarmee elke geverifieerde gebruiker de avatars van andere gebruikers kan wijzigen. Laagbevoorrechte…
- CVE-2026-108651 MEDIUM · 4.3 JeecgBoot tot en met 3.9.5 bevat een ontbrekende autorisatiekwetsbaarheid in de getRolesByUserId-handler van SystemApiController waarmee geverifieerde gebruikers de rolcodes van elke gebruiker kunnen ophalen. Laagbevoorrechte…
- CVE-2026-108650 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the getUserPermissionSet handler of SystemApiController that allows any authenticated user to read other users' permission codes.…
- CVE-2026-108649 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the queryUserRolesById handler of SystemApiController that lets authenticated users read any user's role codes. Low-privileged attackers…
- CVE-2026-108648 MEDIUM · 6.5 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the GET /sys/api/getDynamicDbSourceByCode endpoint of SystemApiController, which lacks Shiro permission or role annotations. Any authenticated low-privileged…
- CVE-2026-108647 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to create validation rules through the SysCheckRuleController importExcel handler. Attackers can upload…
- CVE-2026-108646 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysCategoryController importExcel handler that allows any authenticated user to import category dictionary entries. Low-privileged attackers…
- CVE-2026-108645 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in SysCategoryController that allows any authenticated user to edit category dictionary nodes via /sys/category/edit. Low-privileged attackers can…
- CVE-2026-108644 MEDIUM · 5.4 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysCategoryController delete handler that allows any authenticated user to delete category dictionary nodes. Low-privileged attackers…
- CVE-2026-108643 MEDIUM · 5.4 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to delete category dictionary entries via DELETE /sys/category/deleteBatch. Attackers can obtain node…
- CVE-2026-108642 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in SysAnnouncementSendController that allows authenticated users to modify other users' message delivery records. Attackers can obtain delivery…
- CVE-2026-108641 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains an insecure direct object reference vulnerability that allows authenticated users to read other users' in-application messages via the getOne handler of…
- CVE-2026-108640 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysDepartRoleController queryById handler that lacks Shiro permission annotations. Low-privileged authenticated attackers can request GET /sys/sysDepartRole/queryById…
- CVE-2026-108639 MEDIUM · 5.4 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows any authenticated user to permanently delete data dictionaries via the deletePhysic handler of SysDictController. Low-privileged…
- CVE-2026-108638 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to remove group memberships via the deleteGroupUser handler in SysUserController. Attackers can…
- CVE-2026-108637 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to remove user group members by calling DELETE /sys/user/deleteUserGroupBatch. Attackers can supply…
- CVE-2026-108636 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysDepartController appImportExcel handler that allows any authenticated user to import departments. Low-privileged attackers can upload…
- CVE-2026-108635 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the GET /sys/sysDepart/getDepartmentHead endpoint of SysDepartController that allows any authenticated user to list department staff. Low-privileged…
- CVE-2026-108634 MEDIUM · 5.4 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to delete department permission bindings via the DELETE /sys/sysDepartPermission/deleteBatch endpoint. Attackers can…
- CVE-2026-108633 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to create department permission bindings via POST /sys/sysDepartPermission/add. Attackers can submit arbitrary…
- CVE-2026-108632 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysDepartPermissionController queryById handler that allows any authenticated user to read department permission records. Low-privileged attackers…
- CVE-2026-108631 MEDIUM · 5.4 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysDepartPermissionController delete handler that allows low-privileged authenticated users to delete department permission bindings. Attackers can…
- CVE-2026-108630 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in SysDepartPermissionController that allows any authenticated user to modify department permission records by calling the edit endpoint.…
- CVE-2026-108629 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the saveDatarule handler of SysDepartPermissionController that allows any authenticated user to modify department data rules. Low-privileged…
- CVE-2026-108628 HIGH · 8.1 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the saveDeptRolePermission endpoint of SysDepartPermissionController that allows any authenticated user to modify department role permissions. Low-privileged…
- CVE-2026-108627 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the loadDatarule handler of SysRoleController that lets any authenticated user query role data rules. Low-privileged attackers…
- CVE-2026-108626 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysMessageController queryById handler that allows low-privileged authenticated users to read any message push record. Attackers…
- CVE-2026-108625 MEDIUM · 4.3 JeecgBoot through 3.9.5 contains a missing authorization vulnerability that allows low-privileged authenticated users to modify message push records by calling PUT /sys/message/sysMessage/edit. Attackers can submit…
- CVE-2026-108624 MEDIUM · 5.4 JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the SysMessageController deleteBatch handler that allows low-privileged authenticated users to delete message records. Attackers can obtain…