CVE-2026-94413

jshERP do wersji 3.6 zawiera podatność obejścia autoryzacji w endpointach CRUD userBusiness, która pozwala uwierzytelnionym użytkownikom tworzyć, modyfikować lub usuwać wiersze relacji autoryzacyjnych bez sprawdzania uprawnień. Atakujący mogą manipulować mapowaniami użytkownik-rola i kontrolą dostępu, aby podnieść uprawnienia, odebrać dostęp innym kontom lub zmodyfikować relacje rola-funkcja dla dowolnego użytkownika w tenancie.

jshERP do wersji 3.6 nie weryfikuje własności obiektów w endpointach informacji, aktualizacji i usuwania po identyfikatorze w wielu typach zasobów. Uwierzytelnieni użytkownicy mogą odczytywać, modyfikować i usuwać obiekty biznesowe innych użytkowników, podając bezpośrednie identyfikatory obiektów bez sprawdzania autoryzacji.

jshERP do wersji 3.6 nie weryfikuje uprawnień wywołującego w endpointach zarządzania rolami, co pozwala uwierzytelnionym użytkownikom modyfikować zakres danych dowolnej roli lub usuwać role. Atakujący mogą wykorzystać endpointy /role/update i /role/delete, aby podnieść uprawnienia, zmienić widoczność danych na wszystkie dane i uzyskać dostęp do wszystkich rekordów biznesowych w tenancie.

jshERP do wersji 3.6 nie weryfikuje prawidłowo uprawnień użytkownika w SystemConfigService.updateSystemConfig, co pozwala uwierzytelnionym użytkownikom modyfikować konfigurację systemową tenanta. Atakujący mogą przepisać lub usunąć ustawienia obejmujące tożsamość firmy, reguły magazynowe, zachowanie zatwierdzeń i konfigurację drukowania przez endpoint systemConfig.

jshERP do wersji 3.6 zawiera podatność obejścia izolacji dzierżawców, która pozwala uwierzytelnionym użytkownikom odczytywać rekordy innych dzierżawców przez endpoint GET /tenant/info. Atakujący może iterować klucz główny, aby wyliczyć i uzyskać dostęp do danych wrażliwych, takich jak nazwy logowania, daty ważności, limity użytkowników i stan włączenia wszystkich dzierżawców platformy.

jshERP do wersji 3.6 nie sprawdza autoryzacji na endpoincie POST /userBusiness/updateBtnStr, co pozwala uwierzytelnionym użytkownikom modyfikować definicje uprawnień przycisków ról. Atakujący może podać dowolne parametry roleId i btnStr, aby nadpisać konfigurację uprawnień przycisków dla dowolnej roli w dzierżawie bez weryfikacji uprawnień.

jshERP do wersji 3.6 zawiera podatność obejścia autoryzacji w endpoincie POST /user/resetPwd, która pozwala uwierzytelnionym użytkownikom zresetować hasło dowolnego innego użytkownika. Atakujący może wysłać żądanie z dowolnym identyfikatorem użytkownika docelowego, aby zresetować hasło tego konta do znanej wartości domyślnej.

jshERP 3.6 zawiera podatność eskalacji uprawnień w endpoincie updateOneValueByKeyIdAndType, która pozwala uwierzytelnionym użytkownikom przyznać sobie dowolne role. Atakujący może wysłać żądanie POST z type=UserRole, własnym identyfikatorem użytkownika i listą identyfikatorów ról, aby awansować z nisko uprzywilejowanego użytkownika tenanta na administratora tenanta.

W jishenghua jshERP do wersji 3.6 stwierdzono podatność na SSRF (Server-Side Request Forgery) w funkcji insertPlatformConfig w pliku PlatformConfigService.java. Manipulacja argumentem platformValue umożliwia zdalne wykonanie żądań po stronie serwera.

W jishenghua jshERP do wersji 3.6, funkcja addAccountHeadAndDetail w pliku AccountHeadService.java jest podatna na path traversal poprzez argument fileName, co pozwala zdalnemu atakującemu na manipulację ścieżką pliku.