PT-2026-110568 · Jishenghua · Jsherp
CVSS v3.1
4.3
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
jshERP الإصدارات السابقة لـ 3.7
الوصف
توجد مشكلة في نقص التصريح في LogController. يسمح هذا لأي مستخدم مصرح له، بما في ذلك المستخدمون ذوو الصلاحيات المنخفضة، بالوصول إلى سجل تدقيق عمليات المستأجر. من خلال إرسال طلبات GET إلى نقاط النهاية '/log/list' أو '/log/info'، يمكن للمهاجم عرض معلومات حساسة مثل أسماء تسجيل دخول المستخدمين الآخرين، وعناوين IP للعملاء، والإجراءات التي تم تنفيذها.
التوصيات
تحديث jshERP إلى إصدار أحدث من 3.6.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقاط النهاية '/log/list' و '/log/info'.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Jsherp