Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 10 OCT · 20:18

CVE-2026-108668 Falta de autorización en JeecgBoot mediante /airag/prompts/deleteRecycleBin

JeecgBoot hasta 3.9.5 tiene una falla de autorización en el handler deleteRecycleBin de AiragPromptsController que permite a cualquier usuario autenticado purgar plantillas de prompts de IA. Atacantes con bajos privilegios pueden enviar peticiones DELETE con ids de plantillas para eliminar permanentemente plantillas de la papelera pertenecientes a administradores u otros usuarios.

5.4MEDIA

CVSS 3.1

  • CVSS 4.05.3 · media
  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • jeecgboot JeecgBoot

    hasta 3.9.5

Qué hacer

  1. Verificá si usás JeecgBoot y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadBaja

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Baja
  • Disponibilidad (sistema vulnerable)Baja
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

JeecgBoot through 3.9.5 contains a missing authorization vulnerability in the AiragPromptsController deleteRecycleBin handler that allows any authenticated user to purge AI prompt templates. Low-privileged attackers can send DELETE requests with prompt template ids to permanently remove recycle-bin templates belonging to administrators or other users.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.