JeecgBoot: Fehlende Autorisierung bei der Genehmigung von Tenant-Administrator-Anträgen
Zusammenfassung
JeecgBoot bis einschliesslich 3.9.5 enthält im passApply-Handler des Tenant-Controllers eine fehlende Autorisierungsprüfung (CWE-862). Jeder authentifizierte Benutzer kann ausstehende Tenant-Administrator-Anträge genehmigen und so Tenant-Administrator-Paketberechtigungen in jedem Tenant erlangen. Der Angreifer benötigt Netzwerkzugriff auf die Anwendung und ein gültiges Konto mit niedrigen Berechtigungen; eine Benutzerinteraktion ist nicht erforderlich.
Betroffen
- JeecgBoot bis einschliesslich 3.9.5 (gemäss CVE-Eintrag; 3.9.5 ist die neueste Version)
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden. Ein von OSV als Korrektur angegebener Commit konnte nicht verifiziert werden.
Umgehung
- Zugriff auf /sys/tenant/-Endpunkte am Reverse Proxy oder WAF auf Administratoren beschränken
- Offene Selbstregistrierung und Tenant-Anträge deaktivieren, sofern sie nicht benötigt werden
- Aufrufe von /sys/tenant/passApply protokollieren und alarmieren
Ausnutzung
- Ein öffentliches Proof-of-Concept-Skript existiert in einem öffentlichen GitHub-Repository (nicht geprüft).
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.00231.
Unsere Empfehlung
- Für jede aus dem Internet erreichbare JeecgBoot-Instanz hohe Priorität einräumen.
- Installierte Version prüfen und im Repository des Herstellers nach einer Korrektur suchen.
- Die oben genannten Proxy-Einschränkungen anwenden, bis eine Korrektur bestätigt ist.
- Bestehende Tenant-Administrator-Berechtigungen und ausstehende Anträge auf unerwartete Änderungen prüfen.
- Verwandte Schwachstellen an Tenant-Endpunkten gemeinsam mit dieser patchen oder abschwächen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: JeecgBoot missing authorization via /sys/tenant/passApply www.vulncheck.com
- OSV: CVE-2026-108657 osv.dev
- JeecgBoot SysTenantController.java (referenced vulnerable code) github.com
- Public proof-of-concept script (GitHub) github.com
- OpenCVE: CVE-2026-108657 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:03.
Referenzen der NVD (3)
- https://github.com/AnkesKasty/cve-request-poc/blob/a7b6d1423555812d8efa26c91c5d0683164b31e5/JeecgBoot/poc_ten…
- https://github.com/jeecgboot/JeecgBoot/blob/e3b9dc0aefe1943d9772b026f64ed671a7c82802/jeecg-boot/jeecg-module-…
- https://www.vulncheck.com/advisories/jeecgboot-through-3.9.5-missing-authorization-via-sys-tenant-passapply
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.