Vulnerabilidades

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a cualquier usuario autenticado eliminar permanentemente diccionarios de datos mediante el controlador deletePhysic de SysDictController. Los atacantes con privilegios bajos pueden enviar solicitudes DELETE a…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con pocos privilegios eliminar membresías de grupo a través del manejador deleteGroupUser en SysUserController. Los atacantes pueden enviar solicitudes DELETE con valores arbitrarios de groupId y…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización ausente que permite a usuarios autenticados con pocos privilegios eliminar miembros de grupos de usuarios llamando a DELETE /sys/user/deleteUserGroupBatch. Los atacantes pueden proporcionar cualquier groupId e identificadores de usuario…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de falta de autorización en el controlador SysDepartController en el manejador appImportExcel que permite a cualquier usuario autenticado importar departamentos. Los atacantes con pocos privilegios pueden cargar un libro de Excel manipulado en POST…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el punto final GET /sys/sysDepart/getDepartmentHead del controlador SysDepartController que permite a cualquier usuario autenticado listar el personal del departamento. Los atacantes con pocos privilegios pueden enumerar valores…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con bajos privilegios eliminar enlaces de permisos de departamento a través del punto final DELETE /sys/sysDepartPermission/deleteBatch. Los atacantes pueden obtener identificadores de fila del…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite que usuarios autenticados con pocos privilegios creen enlaces de permisos de departamento a través de POST /sys/sysDepartPermission/add. Los atacantes pueden enviar campos arbitrarios de departId, permissionId y…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de falta de autorización en el manejador queryById del controlador SysDepartPermissionController que permite a cualquier usuario autenticado leer registros de permisos de departamento. Los atacantes con pocos privilegios pueden solicitar GET…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador de eliminación de SysDepartPermissionController que permite a usuarios autenticados con pocos privilegios eliminar vinculaciones de permisos de departamentos. Los atacantes pueden obtener identificadores de filas…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en SysDepartPermissionController que permite a cualquier usuario autenticado modificar registros de permisos de departamento llamando al endpoint de edición. Los atacantes con pocos privilegios pueden obtener identificadores de fila…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el manejador saveDatarule del SysDepartPermissionController que permite a cualquier usuario autenticado modificar reglas de datos de departamentos. Los atacantes con pocos privilegios pueden enviar departId, permissionId y…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el punto de conexión saveDeptRolePermission del SysDepartPermissionController que permite a cualquier usuario autenticado modificar los permisos de rol del departamento. Los atacantes con pocos privilegios pueden enviar valores de…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el manejador loadDatarule del SysRoleController que permite a cualquier usuario autenticado consultar las reglas de datos de rol. Los atacantes con pocos privilegios pueden solicitar GET /sys/role/datarule/{permissionId}/{roleId}…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysMessageController del manejador queryById que permite a usuarios autenticados con pocos privilegios leer cualquier registro de mensajes push. Los atacantes pueden proporcionar identificadores de registro…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con bajos privilegios modificar registros de envío de mensajes llamando a PUT /sys/message/sysMessage/edit. Los atacantes pueden enviar un cuerpo de solicitud nombrando cualquier identificador de…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysMessageController del manejador deleteBatch que permite a usuarios autenticados con privilegios bajos eliminar registros de mensajes. Los atacantes pueden obtener identificadores de registros del punto final list…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysLogController, en el manejador deleteBatch, que permite a cualquier usuario autenticado eliminar entradas de registro de auditoría del sistema. Los atacantes con privilegios bajos pueden enviar una solicitud…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysLogController en el manejador delete que permite a cualquier usuario autenticado eliminar entradas de registro de auditoría. Los atacantes con pocos privilegios pueden obtener identificadores de registro del…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysPositionController en el manejador edit que permite a cualquier usuario autenticado modificar posiciones organizacionales. Los atacantes con privilegios bajos pueden obtener identificadores de posición del punto…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador SysPositionController, específicamente en el gestor deleteBatch, que permite a cualquier usuario autenticado eliminar posiciones organizacionales. Los atacantes con privilegios bajos pueden enviar identificadores de…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de falta de autorización que permite a usuarios autenticados con pocos privilegios eliminar plantillas de mensajes a través del punto de acceso DELETE /sys/message/sysMessageTemplate/deleteBatch. Los atacantes pueden proporcionar identificadores de plantilla…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con pocos privilegios modificar plantillas de mensajes a través de PUT /sys/message/sysMessageTemplate/edit. Los atacantes pueden obtener identificadores de plantilla del punto de conexión de lista…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante que permite a usuarios autenticados con pocos privilegios crear plantillas de mensajes llamando a POST /sys/message/sysMessageTemplate/add. Los atacantes que solo poseen roles mínimos pueden insertar plantillas de notificación…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el controlador AiragExtDataController, en el manejador deleteBatch, que permite a cualquier usuario autenticado eliminar registros del evaluador de IA. Los atacantes con pocos privilegios pueden enviar identificadores separados…

JeecgBoot hasta la versión 3.9.5 contiene una vulnerabilidad de autorización faltante en el manejador de eliminación del AiragExtDataController que permite a usuarios autenticados con privilegios bajos eliminar registros de evaluador de IA. Los atacantes pueden enviar solicitudes DELETE a /airag/extData/delete con…