CVE-2026-94414 in jshERP
Zusammenfassung
von VulDB • 21.09.2026
jshERP bis Version 3.6 weist keine Autorisierungsprüfung für den POST /userBusiness/updateBtnStr-Endpunkt auf, die es authentifizierten Benutzern ermöglicht, Rollen-Berechtigungsdefinitionen für Schaltflächen zu ändern. Angreifer können beliebige roleId- und btnStr-Parameter angeben, um die Button-Berechtigungskonfigurationen für jede Rolle in der Mandantenumgebung ohne Berechtigungsvalidierung zu überschreiben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.