CVE-2025-51745
KrytyczneStreszczenie
W systemie JSH_ERP 2.3.1 punkt końcowy /role/addcan jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
Ocena ryzyka
Podatność może pozwolić atakującemu na przejęcie kontroli nad systemem, w tym modyfikację ról i uprawnień użytkowników.
Rekomendacja
Zalecana jest aktualizacja systemu oraz ograniczenie dostępu do punktu końcowego /role/addcan. Należy również monitorować logi pod kątem podejrzanych żądań.
Inne podatności w JSH_ERP
Zobacz wszystkie- CVE-2025-51746Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /serialNumber/addSerialNumber jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51744Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /user/addUser jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51743Krytyczne
W systemie JSH_ERP 2.3.1 punkt końcowy /materialCategory/addMaterialCategory jest podatny na ataki deserializacji fastjson, co może umożliwić zdalne wykonanie kodu.
- CVE-2025-51742Krytyczne
W JSH_ERP 2.3.1 endpoint /material/getMaterialEnableSerialNumberList przekazuje parametr search bezpośrednio do parseObject(), co wprowadza podatność na deserializację Fastjson i może prowadzić do zdalnego wykonania kodu (RCE) przez ładunki JDBC.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in jishenghua JSH_ERP 2.3.1. The /role/addcan endpoint is vulnerable to fastjson deserialization attacks.