CVE-2026-109182

Nome do Software Vulnerável e Versões Afetadas jshERP versões anteriores a 3.7

Description Um problema de autorização incorreta existe no endpoint GET '/supplier/exportExcel'. Isso permite que usuários autenticados ignorem as restrições de escopo de dados de função que são normalmente aplicadas pelo endpoint '/supplier/list'. Usuários restritos a dados pessoais ou de departamento podem exportar todos os registros de fornecedores, clientes e membros, expondo contatos, números de telefone, números fiscais, contas bancárias e saldos.

Recommendations Atualize o jshERP para uma versão posterior à 3.6. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/supplier/exportExcel' para usuários com funções de escopo de dados limitado.