Podatności Aureus ERP
3 znanych podatności CVE w Aureus ERP, przetłumaczonych i ocenionych.
- CVE-2026-95655Wysokie
Aureus ERP przed wersją 1.5.0 nie ogranicza wyszukiwania wiadomości do bieżącego rekordu w ChatterPanel, umożliwiając uwierzytelnionym użytkownikom dostęp do dowolnych wiadomości. Atakujący mogą podawać kolejne identyfikatory wiadomości, aby czytać, edytować, usuwać lub przypinać wiadomości z innych działów lub firm oraz wyliczać wszystkie notatki w systemie.
- CVE-2026-94387Średnie
Aureus ERP w wersjach przed 1.6.0 zawiera podatność typu stored cross-site scripting w logu zmian pola Chatter, gdzie wpisy old_value i new_value są renderowane bez prawidłowego escapowania. Każdy użytkownik uprawniony do edycji śledzonych pól tekstowych może wstrzyknąć złośliwy markup, który wykona się, gdy inni użytkownicy, w tym administratorzy, wyświetlą panel Chatter rekordu.
- CVE-2026-93454Średnie
Aureus ERP do wersji 1.6.0 przechowuje pole notatki warunków płatności bez sanityzacji i renderuje je jako surowy HTML we wtyczce Księgowość. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia warunków płatności mogą przesłać dowolny kod JavaScript do punktu końcowego payment-terms, który jest zapisywany w bazie danych i wykonywany w przeglądarkach wszystkich użytkowników przeglądających ten rekord.