یک آسیب‌پذیری از نوع Missing Authorization (عدم احراز صلاحیت) در فریم‌ورک JeecgBoot تا نسخه 3.9.5 شناسایی شده است که با شناسه CVE-2026-108891 ثبت شده است. این نقص امنیتی در هندلر getUserDetailByUserId در بخش SysUserController رخ داده و به کاربران احراز هویت شده اجازه می‌دهد به اطلاعات کاربران دیگر دسترسی پیدا کنند.
جزئیات فنی و نحوه بهره‌برداری
مهاجمانی که دارای یک حساب کاربری با سطح دسترسی پایین (Low-privileged) هستند، می‌توانند با ارسال مقادیر دلخواه برای userId، اطلاعات حساس کاربران دیگر را استخراج کنند. این اطلاعات شامل موارد زیر است:
- نام واقعی و نام کاربری (Username)
- آدرس ایمیل و شماره تلفن
- تاریخ تولد و شماره پرسنلی
- مسیر دپارتمان و پست سازمانی
با توجه به اینکه این آسیب‌پذیری نیازی به تعامل کاربر (User Interaction) ندارد و کد اکسپلویت (Exploit Code) آن به صورت عمومی منتشر شده است، سازمان‌هایی که قابلیت ثبت‌نام آزاد (Self-registration) را فعال کرده‌اند یا تعداد زیادی حساب کاربری با سطح اعتماد پایین دارند، در معرض خطر جدی قرار دارند.
سوابق امنیتی JeecgBoot
این مورد تنها یک نقص تک‌موردی نیست؛ بررسی‌ها نشان می‌دهد که JeecgBoot در نسخه‌های اخیر با زنجیره‌ای از آسیب‌پذیری‌های مشابه روبرو بوده است، از جمله:
- حملات SQL Injection در نسخه‌های 3.5.1 و 3.7.2
- نقص در کنترل دسترسی (Broken Access Control) در نسخه 3.9.2
- امکان ارتقاء سطح دسترسی (Privilege Escalation) در نسخه 3.9.5
- افشای اطلاعات حساس دیتابیس (JDBC credentials)
