PT-2026-110570 · Jishenghua · Jsherp
CVSS v3.1
4.3
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
برنامج jshERP الإصدارات السابقة لـ 3.7
Description
يسمح تجاوز في التفويض للمستخدمين المصرح لهم، والمقيدين ببيانات شخصية أو بيانات القسم، بالوصول إلى فواتير مستخدمين آخرين. من خلال تضمين
purchaseStatus=0 في JSON البحث المرسل إلى نقطة النهاية 'GET /depotHead/list'، تقوم الدالة DepotHeadService.select() بإلغاء تصفية المنشئ، مما يؤدي إلى كشف جميع فواتير المشتريات والمبيعات والمخزون الخاصة بالمستأجر بالكامل.Recommendations
تحديث jshERP إلى إصدار أحدث من 3.6.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية 'GET /depotHead/list' أو تجنب استخدام المعلمة
purchaseStatus في طلبات البحث.استغلال
إصلاح
Incorrect Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Jsherp