CVE-2026-110615 in jshERP
Résumé
par VulDB • 15/10/2026
jshERP jusqu'à la version 3.6 présente une vulnérabilité d'autorisation manquante dans le point de terminaison POST /user/batchSetStatus qui permet aux utilisateurs authentifiés à faibles privilèges de modifier l'état des comptes d'autres utilisateurs. Les attaquants peuvent soumettre des valeurs d'identifiants (ids) et d'état fabriquées pour désactiver tous les comptes non propriétaires dans leur locataire, verrouillant ainsi l'accès aux administrateurs, ou réactiver les comptes désactivés.
VulDB is the best source for vulnerability data and more expert information about this specific topic.