sysProfileController.java:update函数可能存在越权漏洞

sysProfileController.java:update函数调用SysUserServiceImpl.java:updateUserInfo，其功能是更新用户的信息，但是缺少checkUserDataScope用于检查当前用户可以访问的数据范围，可能导致用户可以修改合法数据范围外的信息，需要确认所有访问该接口的用户是否已经被认证为当前登录用户，否则应添加相关的权限检查或数据访问范围检查代码
sysProfileController.java:update：
```
    /**
     * 修改用户
     */
    @Log(title = "个人信息", businessType = BusinessType.UPDATE)
    @PostMapping("/update")
    @ResponseBody
    public AjaxResult update(SysUser user)
    {
        SysUser currentUser = getSysUser();
        currentUser.setUserName(user.getUserName());
        currentUser.setEmail(user.getEmail());
        currentUser.setPhonenumber(user.getPhonenumber());
        currentUser.setSex(user.getSex());
        if (StringUtils.isNotEmpty(user.getPhonenumber()) && !userService.checkPhoneUnique(currentUser))
        {
            return error("修改用户'" + currentUser.getLoginName() + "'失败，手机号码已存在");
        }
        else if (StringUtils.isNotEmpty(user.getEmail()) && !userService.checkEmailUnique(currentUser))
        {
            return error("修改用户'" + currentUser.getLoginName() + "'失败，邮箱账号已存在");
        }
        if (userService.updateUserInfo(currentUser) > 0)
        {
            setSysUser(userService.selectUserById(currentUser.getUserId()));
            return success();
        }
        return error();
    }
```

SysUserServiceImpl.java:updateUserInfo

```
/**
     * 修改用户个人详细信息
     * 
     * @param user 用户信息
     * @return 结果
     */
    @Override
    public int updateUserInfo(SysUser user)
    {
        return userMapper.updateUser(user);
    }
```

建议添加代码：

```
checkUserDataScope(user.getId())
```

GVP 若依/RuoYi

Content Risk Flag

Comments (1)

GVP若依/RuoYi

Content Risk Flag