JeecgBoot 3.9.5'te Yetkilendirme Eksikliği Kritik Yetki Yükseltmeye İzin Veriyor
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-108628
- Ciddiyet
- Yüksek (CVSS 8.1)
- Firma / ürün
- - / -
Özet
NVD kaydına göre JeecgBoot 3.9.5 öncesi sürümlerde, yetkilendirme eksikliği nedeniyle kimliği doğrulanmış kullanıcılar departman rol izinlerini değiştirebiliyor.
Ayrıntılar
NVD kaydına göre JeecgBoot 3.9.5 ve önceki sürümlerinde SysDepartPermissionController sınıfındaki saveDeptRolePermission uç noktası yetkilendirme kontrolü içermiyor. Bu durum, düşük yetkili bir saldırganın roleId ve permissionIds parametrelerini göndererek istediği menü ya da buton izinlerini eklemesine, böylece yetki yükseltmesi yapmasına ya da diğer kullanıcıların izinlerini iptal etmesine olanak tanıyor. Açığın ciddiyeti CVSS 8.1 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne erişimi mümkün olduğunca sınırlı tutun.