یک آسیب‌پذیری امنیتی از نوع Missing Authorization در فریم‌ورک JeecgBoot (نسخه 3.9.5 و قدیمی‌تر) شناسایی شده است که با شناسه CVE-2026-108680 ثبت گردید. این نقص امنیتی به کاربران احراز هویت شده (Authenticated Users) اجازه می‌دهد تا بدون داشتن مجوزهای لازم، اعلان‌های جعلی ارسال کنند.
جزئیات فنی آسیب‌پذیری
این مشکل در نقطه انتهایی (Endpoint) با مسیر POST /sys/api/sendTemplateAnnouncement رخ می‌دهد. به دلیل نبود بررسی‌های لازم در سطح دسترسی، مهاجمانی که دارای یک حساب کاربری با سطح دسترسی پایین هستند می‌توانند پارامترهای مربوط به فرستنده، گیرندگان، عنوان و قالب (Template) پیام را جعل کنند.
پیامدهای امنیتی
- جعل هویت: پیام‌های ارسالی به گونه‌ای ظاهر می‌شوند که گویی از سوی حساب‌های مدیر (Admin) یا سیستم ارسال شده‌اند.
- تاثیر بر یکپارچگی: این آسیب‌پذیری دارای امتیاز 5.3 (Medium) است و تأثیر آن تنها بر روی یکپارچگی (Integrity) داده‌ها در سطح پایین است.
- محدودیت‌ها: این نقص امنیتی هیچ تأثیری بر روی محرمانگی (Confidentiality) یا در دسترس بودن (Availability) سیستم ندارد و منجر به اجرای کد از راه دور (RCE) نمی‌شود.
برای بهره‌برداری از این آسیب‌پذیری، مهاجم باید حتماً دارای یک نشست (Session) معتبر در سیستم JeecgBoot باشد.
به‌روزرسانی (اکتبر 11, 2026 — Vuln Today)
به‌روزرسانی: آسیب‌پذیری جدیدی با شناسه CVE-2026-108679 در نسخه‌های 3.9.5 و قدیمی‌تر JeecgBoot شناسایی شده است. این نقص امنیتی ناشی از فقدان کنترل دسترسی (Missing Authorization) در هندلر sendBusAnnouncement در SystemApiController است.
به موجب این آسیب‌پذیری، کاربران احراز هویت شده با سطح دسترسی پایین (Low-privileged) می‌توانند با ارسال درخواست‌های POST به اندپوینت /sys/api/sendBusAnnouncement و جعل فرستنده، گیرندگان، عنوان و محتوا، اعلان‌های جعلی در قالب پیام‌های سیستمی یا مدیریتی ارسال کنند. این موضوع می‌تواند بستر مناسبی برای اجرای حملات فیشینگ (Phishing) علیه سایر کاربران ایجاد کند.
این نقص امنیتی عمدتاً بر روی یکپارچگی (Integrity) داده‌ها تأثیر می‌گذارد و منجر به افشای اطلاعات محرمانه یا از دسترس خارج شدن سرویس (Availability) نمی‌شود، اما به دلیل امکان جعل هویت مدیر سیستم، ریسک اجتماعی و امنیتی قابل توجهی دارد.
