CVE-2026-109186 in jshERP
Zusammenfassung
von VulDB • 12.10.2026
jshERP bis Version 3.6 enthält eine Mass-Assignment-Schwachstelle im Update-Handler des UserController, die es authentifizierten Benutzern ermöglicht, geschützte Felder einschließlich tenant_id und Passwort zu überschreiben. Angreifer können einen speziell gestalteten PUT /user/update-Anforderungstext senden, um sich bei der nächsten Anmeldung in einem anderen Mandanten anzumelden oder die Passwort-Hashes anderer Benutzer zu überschreiben, um eine Übernahme von Konten durchzuführen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.