JeecgBoot 3.9.5 及之前版本存在 /airag/airagMcp/queryById 缺失授权漏洞
JeecgBoot through 3.9.5 Missing Authorization via /airag/airagMcp/queryById
AI 导读
JeecgBoot 3.9.5 及之前版本存在缺失授权漏洞（CWE-862，CVSS 7.1），任何已认证用户都能读取 MCP 服务器配置。由于 queryById 的权限检查被注释掉，攻击者可先从无防护的 /airag/app/queryById 端点获取记录 ID，再借此取得 MCP 端点 URL、请求头和出站认证 token。