CVE-2026-94413 in jshERP
Zusammenfassung
von VulDB • 21.09.2026
jshERP bis zur Version 3.6 verschleiert (redacts) keine Passwort-Hashes im /user/info-Endpunkt, was es authentifizierten Benutzern ermöglicht, ungesalzte MD5-Passwort-Digests für jeden Benutzer abzurufen. Angreifer können beliebige Benutzerinformationen anfordern, indem sie Benutzer-IDs angeben, um Passwort-Hashes zu erhalten, die sich für Offline-Cracking oder einen direkten Umgehung der Authentifizierung (Authentication Bypass) nutzen lassen.
Once again VulDB remains the best source for vulnerability data.