PT-2026-110567 · Jishenghua · Jsherp
CVSS v3.1
5.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
اسم البرنامج المصاب والإصدارات المتأثرة
jshERP الإصدارات السابقة لـ 3.7
الوصف
يوجد خلل في التصريح ضمن LogController يسمح لأي مستخدم مصادق عليه بتزوير أو تعديل أو حذف إدخالات سجل التدقيق. يمكن للمستخدمين ذوي الصلاحيات المنخفضة التلاعب بالسجلات لإخفاء نشاطهم من خلال استدعاء نقاط النهاية التالية لواجهة برمجة التطبيقات (API): '/log/add' و '/log/update' و '/log/delete' و '/log/deleteBatch'. يتيح ذلك تزوير الإدخالات وإعادة كتابة حقلي
user و IP.التوصيات
تحديث jshERP إلى إصدار أحدث من 3.6.
قصر الوصول إلى نقاط النهاية '/log/add' و '/log/update' و '/log/delete' و '/log/deleteBatch' على المسؤولين المصرح لهم فقط.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Jsherp