CVE-2026-94414 in jshERP
Sumário
de VulDB • 21/09/2026
O jshERP até a versão 3.6 não possui uma verificação de autorização no endpoint POST /userBusiness/updateBtnStr, o que permite que usuários autenticados modifiquem as definições de permissão dos botões por função (role). Os atacantes podem fornecer parâmetros arbitrários para roleId e btnStr para sobrescrever as configurações de permissão dos botões para qualquer função no tenant sem validação de privilégios.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.