CVE-2025-55368
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W jshERP v3.5 w komponencie RoleController.java występuje nieprawidłowa kontrola dostępu, która umożliwia nieautoryzowanym atakującym dowolną modyfikację statusu dostawcy na dowolnym koncie.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej zmiany statusu dostawców, co może prowadzić do zakłóceń w procesach biznesowych, manipulacji danymi lub eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować jshERP do najnowszej wersji oraz wdrożyć mechanizmy uwierzytelniania i autoryzacji dla wszystkich endpointów związanych z zarządzaniem dostawcami.
Inne podatności w jshERP
Zobacz wszystkie- CVE-2026-11469Średnie
W jishenghua jshERP do wersji 3.6 stwierdzono podatność na SSRF (Server-Side Request Forgery) w funkcji insertPlatformConfig w pliku PlatformConfigService.java. Manipulacja argumentem platformValue umożliwia zdalne wykonanie żądań po stronie serwera.
- CVE-2026-11467Średnie
W jishenghua jshERP do wersji 3.6, funkcja addAccountHeadAndDetail w pliku AccountHeadService.java jest podatna na path traversal poprzez argument fileName, co pozwala zdalnemu atakującemu na manipulację ścieżką pliku.
- CVE-2025-55371Średnie
W systemie jshERP v3.5 w komponencie PersonController.java występuje nieprawidłowa kontrola dostępu, która umożliwia nieautoryzowanym atakującym uzyskanie wszystkich informacji o osobach obsługujących system poprzez wykonanie metody getAllList.
- CVE-2025-55370Wysokie
W systemie jshERP v3.5 w komponencie ResourceController.java występuje podatność polegająca na nieprawidłowej kontroli dostępu. Nieautoryzowany atakujący może uzyskać wszystkie odpowiadające dane ID, modyfikując wartość ID.
- CVE-2025-55367Średnie
W systemie jshERP v3.5 w komponencie SupplierController.java występuje nieprawidłowa kontrola dostępu, umożliwiająca nieautoryzowanym atakującym dowolną modyfikację statusu dostawcy na dowolnym koncie.
- CVE-2025-55366Średnie
W systemie jshERP v3.5 w pliku UserController.java występuje nieprawidłowa kontrola dostępu, która umożliwia atakującym dowolne resetowanie haseł użytkowników. Podatność ta pozwala na przeprowadzenie ataku polegającego na eskalacji uprawnień w poziomie.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in the component \controller\RoleController.java of jshERP v3.5 allows unauthorized attackers to arbitrarily modify the supplier status under any account.