CVE-2025-51744
KrytyczneStreszczenie
W systemie JSH_ERP 2.3.1 punkt końcowy /user/addUser jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może dodać nieautoryzowanych użytkowników lub przejąć istniejące konta, co prowadzi do naruszenia integralności systemu.
Rekomendacja
Należy zaktualizować JSH_ERP i ograniczyć dostęp do punktu końcowego /user/addUser. Wdrożenie filtrowania danych wejściowych jest również zalecane.
Inne podatności w JSH_ERP
Zobacz wszystkie- CVE-2025-51746Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /serialNumber/addSerialNumber jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51745Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /role/addcan jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51743Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /materialCategory/addMaterialCategory jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51742Krytyczne
W JSH_ERP 2.3.1 endpoint /material/getMaterialEnableSerialNumberList przekazuje parametr search bezpośrednio do parseObject(), co wprowadza podatność na deserializację Fastjson i może prowadzić do zdalnego wykonania kodu (RCE) przez ładunki JDBC.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in jishenghua JSH_ERP 2.3.1. The /user/addUser endpoint is vulnerable to fastjson deserialization attacks.