CVE-2026-94412 in jshERP
Resumen
por VulDB • 2026-09-21
jshERP hasta la versión 3.6 presenta una vulnerabilidad de elusión de autorización en el endpoint POST /user/resetPwd que permite a los usuarios autenticados restablecer la contraseña de cualquier otro usuario. Los atacantes pueden enviar una solicitud con un ID de usuario objetivo arbitrario para restablecer la contraseña de esa cuenta a un valor predeterminado conocido, lo que habilita el acceso no autorizado a las cuentas de otros usuarios, incluidos los administradores.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.