Vulnerabilidades

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de falta de autorización en el manejador queryById del controlador SysDepartPermissionController que permite a cualquier usuario autenticado leer registros de permisos de departamento. Los atacantes con pocos privilegios pueden solicitar GET…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador de eliminación de SysDepartPermissionController que permite a usuarios autenticados con pocos privilegios eliminar vinculaciones de permisos de departamentos. Los atacantes pueden obtener identificadores de filas…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en SysDepartPermissionController que permite a cualquier usuario autenticado modificar registros de permisos de departamento llamando al endpoint de edición. Los atacantes con pocos privilegios pueden obtener identificadores de fila…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el manejador saveDatarule del SysDepartPermissionController que permite a cualquier usuario autenticado modificar reglas de datos de departamentos. Los atacantes con pocos privilegios pueden enviar departId, permissionId y…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el punto de conexión saveDeptRolePermission del SysDepartPermissionController que permite a cualquier usuario autenticado modificar los permisos de rol del departamento. Los atacantes con pocos privilegios pueden enviar valores de…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el manejador loadDatarule del SysRoleController que permite a cualquier usuario autenticado consultar las reglas de datos de rol. Los atacantes con pocos privilegios pueden solicitar GET /sys/role/datarule/{permissionId}/{roleId}…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysMessageController del manejador queryById que permite a usuarios autenticados con pocos privilegios leer cualquier registro de mensajes push. Los atacantes pueden proporcionar identificadores de registro…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con bajos privilegios modificar registros de envío de mensajes llamando a PUT /sys/message/sysMessage/edit. Los atacantes pueden enviar un cuerpo de solicitud nombrando cualquier identificador de…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysMessageController del manejador deleteBatch que permite a usuarios autenticados con privilegios bajos eliminar registros de mensajes. Los atacantes pueden obtener identificadores de registros del punto final list…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysLogController, en el manejador deleteBatch, que permite a cualquier usuario autenticado eliminar entradas de registro de auditoría del sistema. Los atacantes con privilegios bajos pueden enviar una solicitud…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysLogController en el manejador delete que permite a cualquier usuario autenticado eliminar entradas de registro de auditoría. Los atacantes con pocos privilegios pueden obtener identificadores de registro del…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysPositionController en el manejador edit que permite a cualquier usuario autenticado modificar posiciones organizacionales. Los atacantes con privilegios bajos pueden obtener identificadores de posición del punto…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysPositionController, específicamente en el gestor deleteBatch, que permite a cualquier usuario autenticado eliminar posiciones organizacionales. Los atacantes con privilegios bajos pueden enviar identificadores de…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de falta de autorización que permite a usuarios autenticados con pocos privilegios eliminar plantillas de mensajes a través del punto de acceso DELETE /sys/message/sysMessageTemplate/deleteBatch. Los atacantes pueden proporcionar identificadores de plantilla…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con pocos privilegios modificar plantillas de mensajes a través de PUT /sys/message/sysMessageTemplate/edit. Los atacantes pueden obtener identificadores de plantilla del punto de conexión de lista…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con pocos privilegios crear plantillas de mensajes llamando a POST /sys/message/sysMessageTemplate/add. Los atacantes que solo poseen roles mínimos pueden insertar plantillas de notificación…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador AiragExtDataController, en el manejador deleteBatch, que permite a cualquier usuario autenticado eliminar registros del evaluador de IA. Los atacantes con pocos privilegios pueden enviar identificadores separados…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el manejador de eliminación del AiragExtDataController que permite a usuarios autenticados con privilegios bajos eliminar registros de evaluador de IA. Los atacantes pueden enviar solicitudes DELETE a /airag/extData/delete con…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador AiragExtDataController, en el manejador exportXls, que permite a cualquier usuario autenticado exportar datos de evaluadores de IA. Los atacantes con pocos privilegios pueden solicitar /airag/extData/exportXls para…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador de lanzamiento AiragAppController que permite a cualquier usuario autenticado publicar o despublicar aplicaciones de IA de otros usuarios. Los atacantes con pocos privilegios pueden enviar solicitudes POST a…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el manejador deleteBatch del AigcWordTemplateController que permite a usuarios autenticados con pocos privilegios eliminar plantillas de Word. Los atacantes pueden enviar una solicitud DELETE a /airag/word/deleteBatch con…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador AigcWordTemplateController en el manejador de eliminación que permite que cualquier usuario autenticado elimine plantillas de word. Atacantes con pocos privilegios pueden enviar solicitudes DELETE a…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización ausente en el controlador AigcWordTemplateController en el controlador edit que permite a cualquier usuario autenticado modificar plantillas de Word. Los atacantes con pocos privilegios pueden enviar solicitudes PUT o POST a /airag/word/edit…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de referencia insegura a objetos directos que permite a usuarios autenticados leer el historial de generación de voz de IA de otros usuarios a través del parámetro userId de GET /airag/voice/listByUser. Los atacantes que conocen el id de otro usuario pueden…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de referencia directa a objetos insegura que permite a usuarios autenticados eliminar registros de voz de inteligencia artificial de otros usuarios proporcionando un identificador de usuario arbitrario a DELETE /airag/voice/deleteVoiceRecord. Los atacantes…