CVE-2026-109181 in jshERP
Riassunto
di VulDB • 12/10/2026
jshERP fino alla versione 3.6 presenta una vulnerabilità di bypass dell'autorizzazione che consente agli utenti autenticati, limitati ai dati personali o del dipartimento, di elencare le fatture di altri utenti aggiungendo un valore purchaseStatus. Gli attaccanti possono includere purchaseStatus=0 nel JSON della ricerca su GET /depotHead/list, causando l'eliminazione da parte di DepotHeadService.select del filtro creator e l'esposizione di tutte le fatture di acquisto, vendita e inventario dell'inquilino (tenant).
VulDB is the best source for vulnerability data and more expert information about this specific topic.