JeecgBoot: Fehlende Autorisierung im Endpunkt saveDeptRolePermission
Zusammenfassung
JeecgBoot bis Version 3.9.5 enthält eine fehlende Autorisierungsprüfung im Endpunkt saveDeptRolePermission des SysDepartPermissionController. Jeder authentifizierte Benutzer, auch mit niedrigen Privilegien, kann Rollen- und Berechtigungs-IDs übermitteln, um Berechtigungen von Abteilungsrollen zu ändern. Ein Angreifer kann beliebige Menü- oder Schaltflächenberechtigungen vergeben, Privilegien erweitern oder Berechtigungen anderer Benutzer entziehen. Ein öffentlicher Proof of Concept existiert, aktive Ausnutzung wurde jedoch nicht gemeldet.
Betroffen
- JeecgBoot 0 bis 3.9.5 (Herstellerangabe gemäss CVE-Eintrag)
- Version 3.9.5 ist im betroffenen Bereich enthalten.
Behoben in
Unbekannt. Es wurde keine Herstellerwarnung oder bestätigte Korrektur gefunden. Die Quellen widersprechen sich zur korrigierten Version; im GitHub-Repository von JeecgBoot prüfen.
Umgehung
- Den Zugriff auf das Admin- und System-Modul netzwerkseitig einschränken (VPN, IP-Allowlist oder Reverse-Proxy-Regeln), sodass nur Administratoren es erreichen.
- Zuordnungen von Abteilungsrollen zu Berechtigungen mit einem bekannten guten Stand vergleichen.
- Nicht benötigte Konten mit niedrigen Privilegien entfernen und die Anzahl der Konten begrenzen.
Ausnutzung
- Öffentlicher Proof of Concept: ja (in den CVE-Referenzen verlinkt).
- In freier Wildbahn ausgenutzt: keine Meldung gefunden.
- CISA SSVC: Exploitation PoC, Automatisierbar nein, technische Auswirkung total.
- EPSS: 0.00231.
Unsere Empfehlung
- Prüfen, ob JeecgBoot im Einsatz ist und ob es aus dem Internet erreichbar ist.
- Netzwerkseitige Einschränkungen für das Admin-Modul anwenden, bis eine verifizierte Korrektur installiert ist.
- Berechtigungen von Abteilungsrollen und letzte Änderungen auf unerwartete Vergaben prüfen.
- Logs auf Aufrufe von saveDeptRolePermission durch Nicht-Administratoren überwachen.
- Auf eine korrigierte Version aktualisieren, sobald das JeecgBoot-Projekt sie bestätigt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-108628 osv.dev
- Vulnerable code (SysDepartPermissionController) github.com
- Proof of concept (GitHub) github.com
- JeecgBoot 3.9.5 release notes newreleases.io
- Vulners CVE record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:04.
Referenzen der NVD (3)
- https://github.com/AnkesKasty/cve-request-poc/blob/a7b6d1423555812d8efa26c91c5d0683164b31e5/JeecgBoot/poc_dep…
- https://github.com/jeecgboot/JeecgBoot/blob/e3b9dc0aefe1943d9772b026f64ed671a7c82802/jeecg-boot/jeecg-module-…
- https://www.vulncheck.com/advisories/jeecgboot-through-3.9.5-missing-authorization-via-savedeptrolepermission…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.