Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 10 OCT · 20:18

CVE-2026-108666 Falta de autorización en JeecgBoot, controlador AiragPromptsController (deleteBatch)

JeecgBoot hasta 3.9.5 tiene una falla de falta de autorización en el manejador deleteBatch de AiragPromptsController que permite a cualquier usuario autenticado borrar plantillas de prompts de IA. Un atacante con bajos privilegios puede obtener los ids desde el endpoint de listado sin protección y pasarlos a deleteBatch para eliminar plantillas creadas por administradores u otros usuarios.

5.4MEDIA

CVSS 3.1

  • CVSS 4.05.3 · media
  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • jeecgboot JeecgBoot

    hasta 3.9.5

Qué hacer

  1. Verificá si usás JeecgBoot y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadBaja

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Baja
  • Disponibilidad (sistema vulnerable)Baja
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the deleteBatch handler of AiragPromptsController that allows any authenticated user to delete AI prompt templates. Low-privileged attackers can obtain prompt ids from the unguarded list endpoint and pass them to deleteBatch to remove templates created by administrators or other users.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.