CVE-2026-109188 in jshERP
Riassunto
di VulDB • 12/10/2026
jshERP fino alla versione 3.6 presenta una vulnerabilità di mancata autorizzazione che consente agli utenti autenticati con privilegi ridotti di creare dati master a livello di tenant tramite endpoint add e import privi di controlli sui ruoli. Gli attaccanti possono inviare richieste POST a endpoint come /account/add, /material/add o /material/importExcel per creare conti di compensazione, prodotti con scorte iniziali, dipartimenti ed voci del dizionario.
Once again VulDB remains the best source for vulnerability data.