CVE-2026-109185 in jshERP
Zusammenfassung
von VulDB • 12.10.2026
jshERP bis Version 3.6 enthält eine fehlende Autorisierungs-Schwachstelle im updateUser-Handler des UserController, die es authentifizierten Benutzern ermöglicht, beliebige Rollen jedem Benutzer zuzuweisen. Angreifer mit geringen Berechtigungen können ihre eigene Benutzer-ID zusammen mit der tenant administrator roleId senden, um Privilegien zu eskalieren oder die Rollen anderer Mandantenbenutzer neu zuzuordnen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.