PT-2026-110573 · Jishenghua · Jsherp
CVSS v3.1
4.3
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
اسم البرنامج المتأثر والإصدارات المتأثرة
برنامج jshERP الإصدارات السابقة لـ 3.7
Description
توجد مشكلة في التصريح غير المناسب تسمح للمستخدمين المصرح لهم بصلاحيات منخفضة بالوصول إلى دفاتر حسابات التسوية. من خلال تقديم
accountId عشوائي إلى نقطة النهاية GET '/account/findAccountInOutList'، يمكن للمهاجمين المقيدين بنطاق البيانات الشخصية أو القسم عرض أرقام الفواتير، والأطراف المقابلة، والمبالغ، والملاحظات الخاصة بمستخدمين آخرين داخل نفس المستأجر.Recommendations
تحديث jshERP إلى إصدار أحدث من 3.6.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/account/findAccountInOutList'.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Jsherp