CVE-2026-109181 in jshERP
الملخص
بحسب VulDB • 12/10/2026
يحتوي jshERP حتى الإصدار 3.6 على ثغرة تجاوز التفويض (authorization bypass) تتيح للمستخدمين المصادق عليهم والمقيدين بالبيانات الشخصية أو بيانات القسم، سرد فواتير المستخدمين الآخرين عن طريق إضافة قيمة purchaseStatus. يمكن للمهاجمين تضمين purchaseStatus=0 في JSON الخاص بالبحث عند استخدام GET /depotHead/list، مما يتسبب في قيام DepotHeadService.select بإزالة فلتر المنشئ (creator filter) وكشف جميع فواتير المشتريات والمبيعات ومخزون المستأجر (tenant).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.