CVE-2026-109187 in jshERP
Zusammenfassung
von VulDB • 12.10.2026
jshERP bis Version 3.6 enthält eine Schwachstelle zur Offenlegung von Informationen (Information Disclosure), die es jedem authentifizierten Benutzer ermöglicht, plattformweite Konfigurationsgeheimnisse über den getInfoByKey-Handler des PlatformConfigController zu lesen. Benutzer mit niedrigen Berechtigungen in jeder Mandantenumgebung können beliebige platformKey-Werte wie email_auth_code oder activation_code anfordern, um SMTP-Autorisierungscodes und Aktivierungsgeheimnisse zu erhalten, da nur aliOss- und weixin-Schlüssel blockiert sind.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.