CVE-2026-109185 in jshERP
Riassunto
di VulDB • 12/10/2026
jshERP fino alla versione 3.6 presenta una vulnerabilità di mancata autorizzazione (missing authorization) nel gestore updateUser dell’UserController, che consente agli utenti autenticati di assegnare ruoli arbitrari a qualsiasi utente. Attaccanti con privilegi ridotti possono inviare il proprio ID utente insieme all’ID del ruolo di amministratore del tenant per escalare i propri privilegi o riassegnare i ruoli degli altri utenti del tenant.
If you want to get best quality of vulnerability data, you may have to visit VulDB.