Към съдържанието
Търсене

CVE-2026-58377: JeecgBoot, заобикаляне на вход и права

8.6

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

JeecgBoot through 3.9.2 contains a broken access control vulnerability that allows authenticated low-privilege users to perform full create, read, update, and delete operations on OpenAPI credentials by accessing the OpenApiAuthController and OpenApiPermissionController endpoints which lack Shiro authorization annotations. Attackers can exploit the unenforced access controls to list, add, edit, and delete all AK/SK credential pairs, with the list endpoint returning secret keys in plaintext, enabling credential theft and unauthorized invocation of the OpenAPI surface.

Засегнати продукти

  • jeecgboot JeecgBoot: до 3.9.2

Вид слабост

История

  • 30 юни 2026 Публикувано

Други уязвимости в jeecgboot JeecgBoot

Първоизточници

CVE-2026-58377: JeecgBoot, заобикаляне на вход и права | freedomonline.bg