A vulnerability was identified in JeecgBoot up to 3.9.1. Affected by this issue is some unknown functionality of the file /sys/dict/loadTreeData of the component JSON Object Handler. The manipulation of the argument condition leads to sql injection. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor confirms (translated from Chinese): "It should have been fixed; a batch of issues were recently resolved."
JeecgBoot versions up to 3.9.1 contain a SQL injection vulnerability in the /sys/dict/loadTreeData endpoint through the condition parameter. Remote attackers can exploit this publicly available vulnerability without authentication to compromise database integrity and confidentiality.
تؤثر هذه الثغرة على مكون معالج كائن JSON في JeecgBoot، حيث يسمح معامل condition غير المصفى بحقن أوامر SQL. يمكن للمهاجمين البعيدين تنفيذ استعلامات SQL تعسفية للوصول إلى بيانات حساسة أو تعديل محتويات قاعدة البيانات. الاستغلال متاح علناً مما يزيد من خطر الهجمات الموجهة ضد المنظمات السعودية.
إصدارات JeecgBoot حتى 3.9.1 تحتوي على ثغرة حقن SQL في نقطة نهاية /sys/dict/loadTreeData عبر معامل condition. يمكن للمهاجمين البعيدين استغلال هذه الثغرة المتاحة علناً بدون مصادقة للتأثير على سلامة وسرية قاعدة البيانات.
Immediately upgrade JeecgBoot to version 3.9.2 or later where the vulnerability has been patched. Implement input validation and parameterized queries for all database operations. Apply Web Application Firewall (WAF) rules to block SQL injection patterns in the condition parameter. Restrict access to /sys/dict/loadTreeData endpoint through network segmentation and authentication controls.
قم بترقية JeecgBoot فوراً إلى الإصدار 3.9.2 أو أحدث حيث تم إصلاح الثغرة. طبق التحقق من صحة المدخلات والاستعلامات المعاملة لجميع عمليات قاعدة البيانات. طبق قواعد جدار الحماية لتطبيقات الويب لحجب أنماط حقن SQL في معامل condition. قيد الوصول إلى نقطة النهاية من خلال تقسيم الشبكة وضوابط المصادقة.