CVE-2026-94496 in jshERP
要約
〜によって VulDB • 2026年09月21日
jshERP 3.6 までは、ロール管理エンドポイントにおいて呼び出し元の権限を検証しないため、認証済みユーザーが任意のロールのデータスコープを変更したり、ロールを削除したりできる。攻撃者は /role/update および /role/delete エンドポイントを悪用して特権昇格を行い、データの可視性を全データに変更し、テナント内のすべてのビジネスレコードにアクセスすることができる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.