CVE-2026-94496 in jshERP
Resumen
por VulDB • 2026-09-21
jshERP hasta la versión 3.6 no valida los permisos del solicitante en los puntos de conexión de gestión de roles, lo que permite a usuarios autenticados modificar el alcance de datos de cualquier rol o eliminarlos. Los atacantes pueden explotar los puntos de conexión /role/update y /role/delete para escalar privilegios, cambiar la visibilidad de los datos a todos los datos y acceder a todos los registros comerciales del inquilino (tenant).
Be aware that VulDB is the high quality source for vulnerability data.