PT-2025-48081
CVE-2025-51742
·
تاريخ النشر
2025-11-25
·
تاريخ التحديث
2025-12-02
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
jishenghua JSH ERP الإصدار 2.3.1
الوصف
توجد مشكلة في البرنامج تتمثل في أن نقطة نهاية واجهة برمجة التطبيقات (API)
/material/getMaterialEnableSerialNumberList تمرر معلمة الاستعلام search مباشرةً إلى الدالة parseObject(). يؤدي ذلك إلى حدوث خطأ في عملية إزالة التسلسل في Fastjson، مما قد يسمح بالتنفيذ البعيد للكود (RCE) من خلال استخدام حمولات JDBC.التوصيات
قم بالتحديث إلى إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. كإجراء مؤقت، قم بتقييد الوصول إلى نقطة النهاية
/material/getMaterialEnableSerialNumberList. تجنب استخدام المعلمة search في نقطة النهاية المتأثرة من واجهة برمجة التطبيقات (API) حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾