CVE-2025-51743
KrytyczneStreszczenie
W systemie JSH_ERP 2.3.1 punkt końcowy /materialCategory/addMaterialCategory jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
Ocena ryzyka
Podatność może pozwolić atakującemu na manipulację danymi kategorii materiałów, a w skrajnych przypadkach na przejęcie systemu.
Rekomendacja
Zalecana jest aktualizacja systemu oraz ograniczenie dostępu do punktu końcowego. Należy również stosować bezpieczne parsowanie danych.
Inne podatności w JSH_ERP
Zobacz wszystkie- CVE-2025-51746Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /serialNumber/addSerialNumber jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51745Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /role/addcan jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51744Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /user/addUser jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51742Krytyczne
W JSH_ERP 2.3.1 endpoint /material/getMaterialEnableSerialNumberList przekazuje parametr search bezpośrednio do parseObject(), co wprowadza podatność na deserializację Fastjson i może prowadzić do zdalnego wykonania kodu (RCE) przez ładunki JDBC.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in jishenghua JSH_ERP 2.3.1. The /materialCategory/addMaterialCategory endpoint is vulnerable to fastjson deserialization attacks.