در نسخه‌های 3.9.5 و قدیمی‌تر پلتفرم JeecgBoot، یک آسیب‌پذیری از نوع عدم احراز هویت (Missing Authorization) در هندلر queryUserRoles مربوط به SystemApiController شناسایی شده است.
جزئیات فنی
این نقص امنیتی به کاربران احراز هویت شده اجازه می‌دهد تا کدهای نقش (Role Codes) هر کاربری را در سیستم مشاهده کنند. مهاجمانی که دسترسی‌های محدودی (Low-privileged) دارند، می‌توانند با ارسال درخواست‌های GET به مسیر /sys/api/queryUserRoles و وارد کردن نام کاربری هدف، نقش‌های اختصاص یافته به آن کاربر را استخراج کنند.
پیامد امنیتی
هدف اصلی از بهره‌برداری از این آسیب‌پذیری، شناسایی حساب‌های کاربری با سطح دسترسی مدیر (Administrator) است. این فرآیند شناسایی (Enumeration) می‌تواند به عنوان گامی برای حملات پیچیده‌تر یا تلاش برای ارتقای سطح دسترسی (Privilege Escalation) مورد استفاده قرار گیرد.
