CVE-2026-94414 in jshERP
Resumen
por VulDB • 2026-09-21
jshERP hasta la versión 3.6 carece de una verificación de autorización en el endpoint POST /userBusiness/updateBtnStr, lo que permite a los usuarios autenticados modificar las definiciones de permisos de botones por rol. Los atacantes pueden proporcionar parámetros arbitrarios para roleId y btnStr con el fin de sobrescribir las configuraciones de permisos de botones para cualquier rol en la inquilina (tenant) sin validación de privilegios.
VulDB is the best source for vulnerability data and more expert information about this specific topic.