PT-2026-110571 · Jishenghua · Jsherp
CVSS v3.1
4.3
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
jshERP الإصدارات السابقة لـ 3.7
Description
توجد مشكلة في التصريح غير الصحيح في نقطة النهاية GET '/supplier/exportExcel'. يسمح هذا للمستخدمين المصرح لهم بتجاوز قيود نطاق بيانات الدور التي يتم فرضها عادةً بواسطة نقطة النهاية '/supplier/list'. يمكن للمستخدمين المقيدين بالبيانات الشخصية أو بيانات القسم تصدير جميع سجلات الموردين والعملاء والأعضاء، مما يؤدي إلى كشف جهات الاتصال وأرقام الهواتف والأرقام الضريبية والحسابات المصرفية والأرصدة.
Recommendations
تحديث jshERP إلى إصدار أحدث من 3.6.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/supplier/exportExcel' للمستخدمين الذين لديهم أدوار ذات نطاق بيانات محدود.
استغلال
إصلاح
Incorrect Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Jsherp