Katalog CVE
CVE-2025-51742
KrytyczneStreszczenie
W JSH_ERP 2.3.1 endpoint /material/getMaterialEnableSerialNumberList przekazuje parametr search bezpośrednio do parseObject(), co wprowadza podatność na deserializację Fastjson i może prowadzić do zdalnego wykonania kodu (RCE) przez ładunki JDBC.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu ERP i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji, która naprawia tę podatność, oraz ograniczenie dostępu do endpointu.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in jishenghua JSH_ERP 2.3.1. The /material/getMaterialEnableSerialNumberList endpoint passes the search query parameter directly to parseObject(), introducing a Fastjson deserialization vulnerability that can lead to RCE via JDBC payloads.