CVE-2026-94495

jshERP do wersji 3.6 zawiera podatność obejścia autoryzacji w endpointach CRUD userBusiness, która pozwala uwierzytelnionym użytkownikom tworzyć, modyfikować lub usuwać wiersze relacji autoryzacyjnych bez sprawdzania uprawnień. Atakujący mogą manipulować mapowaniami użytkownik-rola i kontrolą dostępu, aby podnieść uprawnienia, odebrać dostęp innym kontom lub zmodyfikować relacje rola-funkcja dla dowolnego użytkownika w tenancie.

jshERP do wersji 3.6 nie weryfikuje własności obiektów w endpointach informacji, aktualizacji i usuwania po identyfikatorze w wielu typach zasobów. Uwierzytelnieni użytkownicy mogą odczytywać, modyfikować i usuwać obiekty biznesowe innych użytkowników, podając bezpośrednie identyfikatory obiektów bez sprawdzania autoryzacji.

jshERP do wersji 3.6 nie weryfikuje uprawnień wywołującego w endpointach zarządzania rolami, co pozwala uwierzytelnionym użytkownikom modyfikować zakres danych dowolnej roli lub usuwać role. Atakujący mogą wykorzystać endpointy /role/update i /role/delete, aby podnieść uprawnienia, zmienić widoczność danych na wszystkie dane i uzyskać dostęp do wszystkich rekordów biznesowych w tenancie.

jshERP do wersji 3.6 zawiera podatność obejścia izolacji dzierżawców, która pozwala uwierzytelnionym użytkownikom odczytywać rekordy innych dzierżawców przez endpoint GET /tenant/info. Atakujący może iterować klucz główny, aby wyliczyć i uzyskać dostęp do danych wrażliwych, takich jak nazwy logowania, daty ważności, limity użytkowników i stan włączenia wszystkich dzierżawców platformy.

jshERP do wersji 3.6 nie sprawdza autoryzacji na endpoincie POST /userBusiness/updateBtnStr, co pozwala uwierzytelnionym użytkownikom modyfikować definicje uprawnień przycisków ról. Atakujący może podać dowolne parametry roleId i btnStr, aby nadpisać konfigurację uprawnień przycisków dla dowolnej roli w dzierżawie bez weryfikacji uprawnień.

jshERP do wersji 3.6 nie usuwa skrótów haseł w endpoincie /user/info, co pozwala uwierzytelnionym użytkownikom pobrać niesolone skróty MD5 haseł dowolnego użytkownika. Atakujący może podać identyfikatory użytkowników, aby uzyskać skróty haseł nadające się do łamania offline lub bezpośredniego obejścia uwierzytelniania.

jshERP do wersji 3.6 zawiera podatność obejścia autoryzacji w endpoincie POST /user/resetPwd, która pozwala uwierzytelnionym użytkownikom zresetować hasło dowolnego innego użytkownika. Atakujący może wysłać żądanie z dowolnym identyfikatorem użytkownika docelowego, aby zresetować hasło tego konta do znanej wartości domyślnej.

jshERP 3.6 zawiera podatność eskalacji uprawnień w endpoincie updateOneValueByKeyIdAndType, która pozwala uwierzytelnionym użytkownikom przyznać sobie dowolne role. Atakujący może wysłać żądanie POST z type=UserRole, własnym identyfikatorem użytkownika i listą identyfikatorów ról, aby awansować z nisko uprzywilejowanego użytkownika tenanta na administratora tenanta.

W jishenghua jshERP do wersji 3.6 stwierdzono podatność na SSRF (Server-Side Request Forgery) w funkcji insertPlatformConfig w pliku PlatformConfigService.java. Manipulacja argumentem platformValue umożliwia zdalne wykonanie żądań po stronie serwera.

W jishenghua jshERP do wersji 3.6, funkcja addAccountHeadAndDetail w pliku AccountHeadService.java jest podatna na path traversal poprzez argument fileName, co pozwala zdalnemu atakującemu na manipulację ścieżką pliku.