CVE-2026-109186
Təsvir
jshERP-nin 3.6 versiyadakı daxil olmaqla bütün versiyalarda UserController update handler hissəsində kütləvi təyin (mass assignment) zəifliyi mövcuddur və bu, autentifikasiya olunmuş istifadəçilərə tenant_id və password kimi qorunan sahələri yenidən yazmağa imkan verir. Hücumçular növbəti giriş zamanı digər tenant-a keçid etmək və ya hesabları ələ keçirmək üçün digər istifadəçilərin parol heşlərini dəyişmək məqsədilə xüsusi hazırlanmış PUT /user/update sorğusu göndərə bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jishenghua jshERP | v ≤ 3.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.