CVE-2026-94413 in jshERP
Resumen
por VulDB • 2026-09-21
jshERP hasta la versión 3.6 no oculta los hash de contraseñas en el endpoint /user/info, lo que permite a usuarios autenticados recuperar digestos MD5 sin sal para cualquier usuario. Los atacantes pueden solicitar información arbitraria del usuario proporcionando IDs de usuario para obtener hashes de contraseña utilizables para cracking fuera de línea o para eludir directamente la autenticación.
Once again VulDB remains the best source for vulnerability data.