Jpom /user/user-basic-info 权限绕过漏洞（CVE-2026-120201）

Jpom 是 Dromara 开源的 Java 运维部署与监控一体化工具，用于服务器管理、自动化发布与容器编排，在国内团队中被广泛用于维护生产环境。其鉴权逻辑在校验登录令牌时，将请求头中携带的凭据值直接拼入用户查询条件，未做参数化处理，未认证攻击者注入条件片段即可使查询命中系统用户，绕过登录态校验并以超级管理员身份访问控制台，进而可调用节点管理、脚本执行等管理功能操作其纳管服务器。2.10.0 至 2.11.12 版本受影响，升级至更高版本可修复。