CVE-2026-109181 in jshERP
요약
\~에 의해 VulDB • 2026. 10. 12.
jshERP 3.6 이하 버전에는 인증 우회 취약점이 존재하며, 이를 통해 개인 또는 부서 데이터에만 접근 권한이 있는 인증된 사용자가 구매Status 값을 추가하여 다른 사용자의 청구서를 열람할 수 있습니다. 공격자는 GET /depotHead/list 요청의 검색 JSON에 purchaseStatus=0을 포함시켜 DepotHeadService.select 메서드가 생성자 필터를 제거하도록 유도하고, 모든 테넌트의 구매, 판매 및 재고 청구서를 노출시킬 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.