CVE-2025-55370
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W systemie jshERP v3.5 w komponencie ResourceController.java występuje podatność polegająca na nieprawidłowej kontroli dostępu. Nieautoryzowany atakujący może uzyskać wszystkie odpowiadające dane ID, modyfikując wartość ID.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wrażliwych danych identyfikacyjnych, co może prowadzić do wycieku informacji i naruszenia poufności systemu.
Rekomendacja
Należy natychmiast zaktualizować jshERP do najnowszej wersji oraz wdrożyć mechanizmy autoryzacji i walidacji dostępu w kontrolerze ResourceController.
Inne podatności w jshERP
Zobacz wszystkie- CVE-2026-11469Średnie
W jishenghua jshERP do wersji 3.6 stwierdzono podatność na SSRF (Server-Side Request Forgery) w funkcji insertPlatformConfig w pliku PlatformConfigService.java. Manipulacja argumentem platformValue umożliwia zdalne wykonanie żądań po stronie serwera.
- CVE-2026-11467Średnie
W jishenghua jshERP do wersji 3.6, funkcja addAccountHeadAndDetail w pliku AccountHeadService.java jest podatna na path traversal poprzez argument fileName, co pozwala zdalnemu atakującemu na manipulację ścieżką pliku.
- CVE-2025-55371Średnie
W systemie jshERP v3.5 w komponencie PersonController.java występuje nieprawidłowa kontrola dostępu, która umożliwia nieautoryzowanym atakującym uzyskanie wszystkich informacji o osobach obsługujących system poprzez wykonanie metody getAllList.
- CVE-2025-55368Wysokie
W jshERP v3.5 w komponencie RoleController.java występuje nieprawidłowa kontrola dostępu, która umożliwia nieautoryzowanym atakującym dowolną modyfikację statusu dostawcy na dowolnym koncie.
- CVE-2025-55367Średnie
W systemie jshERP v3.5 w komponencie SupplierController.java występuje nieprawidłowa kontrola dostępu, umożliwiająca nieautoryzowanym atakującym dowolną modyfikację statusu dostawcy na dowolnym koncie.
- CVE-2025-55366Średnie
W systemie jshERP v3.5 w pliku UserController.java występuje nieprawidłowa kontrola dostępu, która umożliwia atakującym dowolne resetowanie haseł użytkowników. Podatność ta pozwala na przeprowadzenie ataku polegającego na eskalacji uprawnień w poziomie.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in the component \controller\ResourceController.java of jshERP v3.5 allows unauthorized attackers to obtain all the corresponding ID data by modifying the ID value.