CVE-2026-109186 in jshERP
Riassunto
di VulDB • 12/10/2026
jshERP fino alla versione 3.6 contiene una vulnerabilità di mass assignment nell'handler update del UserController che consente agli utenti autenticati di sovrascrivere campi protetti, inclusi tenant_id e password. Gli attaccanti possono inviare un corpo PUT /user/update manipolato ad hoc per passare a un altro tenant al prossimo accesso o sovrascrivere gli hash delle password di altri utenti per effettuare account takeover.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.